Lexikon

Glossar

203 Einträge aus Schwachstellen-Management, Threat-Intel, IT-Forensik, DFIR, Recht und Tooling — jede Abkürzung mit Langform, jeder Begriff mit Kontext. Suche nutzen, Inhaltsverzeichnis anklicken oder per Link auf einen Begriff direkt verweisen.

Identifier

CPEStandardisierte Produkt-/VersionskennungCommon Platform Enumeration: CPE ist ein standardisiertes Benennungsschema für IT-Produkte, Betriebssysteme und Hardware. Eine CPE-Zeichenkette identifiziert eindeutig Hersteller, Produkt und Version und erlaubt es, Schwachstellen (CVE) maschinell den betroffenen Produkten zuzuordnen. CPE ist damit der Klebstoff zwischen einer abstrakten Schwachstelle und dem konkreten Asset im eigenen Bestand.; Detail-Seite öffnen →Originalquelle ↗
CVEAllgemeine Schwachstellen und RisikenCommon Vulnerabilities and Exposures: Eine CVE-ID ist die weltweit anerkannte, eindeutige Kennung pro öffentlich bekannter Schwachstelle im Format CVE-JJJJ-NNNN(N). Vergeben wird sie von der MITRE Corporation und einem Netz autorisierter Partner (CNAs). Wichtig: Die CVE-ID benennt eine Schwachstelle, sagt aber für sich genommen nichts über deren Schweregrad oder Ausnutzungswahrscheinlichkeit — dafür dienen CVSS, EPSS und der KEV-Katalog.; Detail-Seite öffnen →Originalquelle ↗
CWEKlassifikations-Schema für Software-SchwachstellenCommon Weakness Enumeration: CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse. So lässt sich von der Einzellücke zur eigentlichen Ursache und damit zur Vermeidung kommen.; Detail-Seite öffnen →Originalquelle ↗
DSADebian-SicherheitshinweisDebian Security Advisory: Eine DSA ist der offizielle Sicherheitshinweis des Debian-Projekts für eine oder mehrere Schwachstellen in Debian-Paketen. Sie nennt die betroffenen Pakete, die zugehörigen CVE-IDs und die Version, in der das Problem behoben ist. Für Betreiber von Debian-Systemen ist die DSA die maßgebliche, herstellerseitige Handlungsanweisung.; Detail-Seite öffnen →Originalquelle ↗
GHSAGitHub-SicherheitshinweisGitHub Security Advisory: Eine GHSA ist ein Eintrag in der GitHub Advisory Database, die vor allem Schwachstellen in Open-Source-Abhängigkeiten verschiedener Programmiersprach-Ökosysteme erfasst. Sie trägt eine eigene Kennung im Format GHSA-xxxx-xxxx-xxxx und kann bestehen, bevor oder ohne dass eine klassische CVE-ID existiert. Für die Software-Lieferkette ist GHSA damit eine der schnellsten Quellen.; Detail-Seite öffnen →Originalquelle ↗
GSDOffene, community-getriebene Schwachstellen-DatenbankGlobal Security Database: Die GSD ist ein Open-Source-Projekt der Cloud Security Alliance (CSA), das eine offene, gemeinschaftlich gepflegte Alternative bzw. Ergänzung zum CVE-System aufbauen will. Die Daten werden frei lizenziert über Git verwaltet und sollen die Lücken adressieren, die in klassischen Schwachstellen-Identifikatoren wahrgenommen werden. Konzeptionell ähnelt die GSD-Kennung der CVE, setzt aber auf einen offenen Beitragsprozess.; Detail-Seite öffnen →Originalquelle ↗
IMEIInternationale Mobilfunk-Geräte-KennungInternational Mobile Equipment Identity: Die IMEI ist die in der Regel 15-stellige, weltweit eindeutige Kennung eines Mobilfunkgeräts — sie identifiziert das Gerät selbst, nicht den Anschluss oder die Person. In der Mobilforensik dient sie der eindeutigen Gerätezuordnung, etwa beim Abgleich von Asservaten mit Verbindungsdaten. Sie lässt sich auf den meisten Geräten über eine kurze Tastenfolge abrufen.; Detail-Seite öffnen →
IMSIInternationale Mobilfunk-Teilnehmer-KennungInternational Mobile Subscriber Identity: Die IMSI identifiziert den Teilnehmer (die SIM) im Mobilfunknetz und ist damit das Gegenstück zur geräteseitigen IMEI. Sie ist auf der SIM gespeichert und setzt sich aus Landes- und Netzkennung sowie einer teilnehmerspezifischen Nummer zusammen. Wegen ihrer Sensibilität wird sie im Netz möglichst durch temporäre Kennungen ersetzt.; Detail-Seite öffnen →
RHSARed-Hat-SicherheitshinweisRed Hat Security Advisory: Eine RHSA ist der offizielle Sicherheitshinweis von Red Hat für Schwachstellen in Red-Hat-Produkten, vor allem Red Hat Enterprise Linux. Sie verknüpft betroffene Pakete mit den zugehörigen CVE-IDs, einer Schweregradeinstufung und den korrigierten Versionen. Für Red-Hat-Umgebungen ist sie die maßgebliche Patch-Referenz.; Detail-Seite öffnen →Originalquelle ↗
USNUbuntu-SicherheitshinweisUbuntu Security Notice: Eine USN ist der offizielle Sicherheitshinweis von Canonical für Schwachstellen in Ubuntu. Sie benennt die betroffenen Pakete, die zugehörigen CVE-IDs und die Version, in der die Lücke geschlossen ist. Für Ubuntu-Systeme ist die USN die verbindliche Quelle für den tatsächlichen Patch-Status.; Detail-Seite öffnen →Originalquelle ↗

Scoring

CVSSAllgemeines Schwachstellen-BewertungssystemCommon Vulnerability Scoring System: CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.; Detail-Seite öffnen →Originalquelle ↗
EPSSSystem zur Vorhersage von Exploit-WahrscheinlichkeitenExploit Prediction Scoring System: EPSS schätzt die Wahrscheinlichkeit, dass eine Schwachstelle innerhalb der nächsten 30 Tage tatsächlich ausgenutzt wird, als Wert zwischen 0 und 1. Es beantwortet damit eine andere Frage als CVSS: nicht „wie schwer wäre eine Ausnutzung“, sondern „wie wahrscheinlich ist sie“. Beide Werte gemeinsam richten die Patch-Reihenfolge an der realen Bedrohung statt an theoretischer Schwere aus.; Detail-Seite öffnen →Originalquelle ↗
Priority-ScorePriorisierungs-ScorePriority Score: Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?; Detail-Seite öffnen →

Standards & Rahmenwerke

ATT&CKWissensbasis gegnerischer Taktiken und TechnikenAdversarial Tactics, Techniques & Common Knowledge: MITRE ATT&CK ist eine offene, kuratierte Wissensbasis realer Angreifer-Vorgehensweisen, gegliedert nach Taktiken (dem „Warum“ eines Schritts) und Techniken (dem „Wie“). Sie liefert eine gemeinsame Sprache, um Angriffe zu beschreiben, Erkennungen zu kartieren und Lücken in der eigenen Abwehr sichtbar zu machen. ATT&CK basiert ausdrücklich auf beobachtetem Verhalten, nicht auf Theorie.; Detail-Seite öffnen →Originalquelle ↗
ATT&CK for ICSMITRE ATT&CK für industrielle SteuerungssystemeMITRE ATT&CK for Industrial Control Systems: ATT&CK for ICS überträgt die ATT&CK-Logik auf die Welt der Betriebstechnik (OT) und industriellen Steuerungssysteme. Statt klassischer IT-Ziele beschreibt es Taktiken und Techniken, die auf physische Prozesse zielen — etwa das Manipulieren von Steuerungslogik oder das Unterdrücken von Schutzfunktionen. Es ist das gemeinsame Vokabular für die Analyse von Angriffen auf Produktion, Energie und KRITIS.; Detail-Seite öffnen →Originalquelle ↗
BAITBankaufsichtliche Anforderungen an die ITBanking Supervisory Requirements for IT (Germany): Die BAIT sind ein BaFin-Rundschreiben, das auf Grundlage des § 25a KWG die aufsichtlichen Erwartungen an die IT-Organisation und Informationssicherheit von Banken konkretisiert. Sie waren über Jahre der maßgebliche nationale Maßstab für IT-Sicherheit im Bankensektor. Mit der EU-Verordnung DORA werden sie schrittweise abgelöst.; Detail-Seite öffnen →Originalquelle ↗
BSI-Leitfaden IT-ForensikBSI-Leitfaden IT-ForensikBSI Guideline on IT Forensics: Der BSI-Leitfaden IT-Forensik ist die maßgebliche deutschsprachige Referenz für ein methodisches, gerichtsfestes Vorgehen bei der forensischen Untersuchung von IT-Vorfällen. Er beschreibt einen strukturierten Prozess von der strategischen Vorbereitung über die Datensicherung bis zur Auswertung und Dokumentation. Damit liefert er einen verlässlichen Rahmen, der Nachvollziehbarkeit und Beweiswert sichert.; Detail-Seite öffnen →Originalquelle ↗
CRAEU-Cyberresilienz-Verordnung (Verordnung 2024/2847)Cyber Resilience Act: Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Die CE-Kennzeichnung wird damit um eine Cybersicherheits-Dimension erweitert.; Detail-Seite öffnen →Originalquelle ↗
CSAFStandard für maschinenlesbare SicherheitshinweiseCommon Security Advisory Framework: CSAF ist ein offener Standard für maschinenlesbare Sicherheitshinweise. Statt Advisories als Fließtext zu veröffentlichen, beschreibt CSAF sie in einem strukturierten Format, das automatisiert verarbeitet werden kann — wer ist betroffen, in welcher Version, mit welcher Gegenmaßnahme. Es ist die Antwort auf die schlichte Tatsache, dass kein Mensch mehr alle relevanten Advisories manuell lesen kann.; Detail-Seite öffnen →Originalquelle ↗
EDREndpunkt-Erkennung und -ReaktionEndpoint Detection and Response: EDR überwacht Endpunkte — Arbeitsplätze, Server, mobile Geräte — kontinuierlich, zeichnet ihr Verhalten auf und erkennt verdächtige Aktivitäten anhand von Mustern statt nur anhand bekannter Signaturen. Anders als klassischer Virenschutz erlaubt EDR die Untersuchung und gezielte Reaktion, etwa das Isolieren eines kompromittierten Hosts. Die forensische Endpunkt-Telemetrie ist eine Kernzutat moderner Detektion.; Detail-Seite öffnen →
IEC 61508IEC 61508 — Funktionale Sicherheit elektrischer/elektronischer SystemeIEC 61508 — Functional Safety of E/E/PE Systems: IEC 61508 ist die übergeordnete Grundnorm für funktionale Sicherheit elektrischer, elektronischer und programmierbarer elektronischer Systeme. Sie definiert, wie sicherheitsgerichtete Funktionen so ausgelegt werden, dass ein gefährlicher Ausfall hinreichend unwahrscheinlich wird — quantifiziert über Sicherheits-Integritätslevel (SIL 1-4). Sie ist die Wurzel, aus der zahlreiche branchenspezifische Sicherheitsnormen abgeleitet sind.; Detail-Seite öffnen →Originalquelle ↗
IEC 61511IEC 61511 — Funktionale Sicherheit der ProzessindustrieIEC 61511 — Functional Safety for the Process Industry: IEC 61511 ist die Anwendung der Grundnorm IEC 61508 auf die Prozessindustrie und regelt dort sicherheitsgerichtete Systeme — sogenannte Safety Instrumented Systems (SIS). Solche Systeme bringen eine Anlage bei drohender Gefahr selbsttätig in einen sicheren Zustand, etwa durch Notabschaltung. Sie sind die letzte technische Verteidigungslinie in chemischen, petrochemischen und vergleichbaren Anlagen.; Detail-Seite öffnen →Originalquelle ↗
IEC 62443IEC 62443 — Sicherheit industrieller Automatisierungs- und SteuerungssystemeIEC 62443 — Security for Industrial Automation and Control Systems: IEC 62443 ist die maßgebliche Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Anders als reine IT-Standards adressiert sie ausdrücklich die Besonderheiten der Betriebstechnik und verteilt Verantwortung über alle Beteiligten — Betreiber, Integratoren und Hersteller. Sie ist im OT-Umfeld das, was ISO 27001 in der klassischen IT ist.; Detail-Seite öffnen →Originalquelle ↗
ISO 27001ISO/IEC 27001 — Informationssicherheits-ManagementsystemISO/IEC 27001 — Information Security Management System: ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Eine Zertifizierung durch eine akkreditierte Stelle ist der gängige, prüfbare Nachweis dafür, dass ein ISMS wirksam betrieben wird.; Detail-Seite öffnen →Originalquelle ↗
KAITKapitalverwaltungsaufsichtliche Anforderungen an die ITCapital Management Supervisory Requirements for IT (Germany): Die KAIT waren das BaFin-Rundschreiben, das die IT-aufsichtlichen Erwartungen speziell für Kapitalverwaltungsgesellschaften konkretisierte — das sektorspezifische Gegenstück zu den BAIT. Sie übertrugen Grundsätze zu IT-Governance, Informationssicherheit und Auslagerung auf die Fondsbranche. Mit der EU-Verordnung DORA wurden sie aufgehoben.; Detail-Seite öffnen →Originalquelle ↗
KRITISKritische InfrastrukturenCritical Infrastructure: KRITIS bezeichnet Organisationen und Einrichtungen mit wesentlicher Bedeutung für das staatliche Gemeinwesen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit zur Folge hätte. In Deutschland sind die betroffenen Sektoren und Schwellenwerte über das BSI-Gesetz und die BSI-Kritisverordnung (BSI-KRITISV) definiert. Mit NIS2 wurde der Kreis regulierter Einrichtungen weit über den klassischen KRITIS-Begriff hinaus ausgedehnt.; Detail-Seite öffnen →Originalquelle ↗
MDMVerwaltung mobiler EndgeräteMobile Device Management: MDM bezeichnet die zentrale Verwaltung mobiler Endgeräte — Smartphones, Tablets, teils Laptops — über eine Management-Plattform. Sie erlaubt es, Geräte zu registrieren, Sicherheitsrichtlinien durchzusetzen, Anwendungen zu verteilen und im Verlust- oder Diebstahlfall aus der Ferne zu sperren oder zu löschen. MDM ist heute meist Teil einer breiteren Endpunkt-Verwaltung (UEM).; Detail-Seite öffnen →
MDRVerwaltete Erkennung und ReaktionManaged Detection and Response: MDR ist kein Produkt, sondern ein Dienst: Ein spezialisierter Anbieter betreibt Erkennung und Reaktion für eine Organisation, kombiniert Technik mit menschlichen Analysten und übernimmt Triage, Untersuchung und eingeleitete Gegenmaßnahmen. MDR schließt die Lücke zwischen „wir haben Werkzeuge gekauft“ und „jemand wertet die Alarme rund um die Uhr aus“. Es ist die betriebene Antwort auf den Fachkräftemangel in der Cybersicherheit.; Detail-Seite öffnen →
MISPOffene Threat-Intelligence-Sharing-PlattformMISP — Open Source Threat Intelligence Platform: MISP ist eine offene Plattform für das Sammeln, Strukturieren und Teilen von Bedrohungsinformationen — insbesondere von Indikatoren wie schädlichen IP-Adressen, Domains oder Datei-Hashes. Sie ermöglicht es Organisationen, Erkenntnisse über Angriffe vertrauensbasiert und maschinenlesbar untereinander auszutauschen. MISP ist im CERT- und SOC-Umfeld einer der verbreitetsten Bausteine der Threat Intelligence.; Detail-Seite öffnen →Originalquelle ↗
NDRNetzwerk-Erkennung und -ReaktionNetwork Detection and Response: NDR überwacht den Netzwerkverkehr, modelliert normales Verhalten und erkennt Abweichungen, die auf laterale Bewegung, Datenabfluss oder Command-and-Control hindeuten. Während EDR den Endpunkt sieht, sieht NDR die Verbindungen dazwischen — auch von Geräten, auf denen sich kein Agent installieren lässt. Beide Perspektiven zusammen ergeben erst ein vollständiges Bild.; Detail-Seite öffnen →
NIS2EU-Richtlinie über Netz- und Informationssicherheit 2Network and Information Security Directive 2: NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. In Deutschland wird sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz grundlegend reformiert.; Detail-Seite öffnen →Originalquelle ↗
SIEMSicherheitsinformations- und Ereignis-ManagementSecurity Information and Event Management: Ein SIEM sammelt, normalisiert und korreliert sicherheitsrelevante Logdaten aus dem gesamten Technologie-Stack zentral und löst daraus Alarme aus. Es ist die gemeinsame Datendrehscheibe für Detektion, Untersuchung und Nachweisführung — von Servern und Endpunkten über Netzwerk und Cloud bis zu Anwendungen. Ohne diese zentrale Sicht bleibt Sicherheitsüberwachung punktuell und blind für zusammenhängende Angriffsmuster.; Detail-Seite öffnen →
SigmaGenerisches Format für ErkennungsregelnSigma — Generic Detection Rule Format: Sigma ist ein offenes, herstellerneutrales Format, um Erkennungsregeln für Logdaten zu beschreiben — gewissermaßen das, was YARA für Dateien ist, für Log-Ereignisse. Eine in Sigma formulierte Regel lässt sich über Werkzeuge in die Abfragesprache verschiedener SIEM-Systeme übersetzen. So werden Erkennungslogiken austauschbar und unabhängig vom konkreten Produkt teilbar.; Detail-Seite öffnen →Originalquelle ↗
SOARSicherheits-Orchestrierung, -Automatisierung und -ReaktionSecurity Orchestration, Automation and Response: SOAR bündelt Werkzeuge und Prozesse, um wiederkehrende Sicherheitsabläufe über sogenannte Playbooks zu automatisieren und zu orchestrieren. Statt jeden Alarm manuell durch eine Kette von Werkzeugen zu schleusen, führt ein Playbook Anreicherung, Bewertung und erste Gegenmaßnahmen verlässlich und protokolliert aus. Ziel ist es, Reaktionszeiten zu verkürzen und Analysten von Routinearbeit zu entlasten.; Detail-Seite öffnen →
VAITVersicherungsaufsichtliche Anforderungen an die ITInsurance Supervisory Requirements for IT (Germany): Die VAIT waren das BaFin-Rundschreiben, das die IT-aufsichtlichen Erwartungen für Versicherungsunternehmen konkretisierte — das sektorspezifische Pendant zu BAIT und KAIT. Sie übertrugen Grundsätze zu IT-Governance, Informationssicherheit, Auslagerung und Notfallmanagement auf die Versicherungsbranche. Mit der EU-Verordnung DORA wurden sie aufgehoben.; Detail-Seite öffnen →Originalquelle ↗
XDRErweiterte Erkennung und ReaktionExtended Detection and Response: XDR führt Signale aus mehreren Sicherheitsdomänen — Endpunkt, Netzwerk, Cloud, Identität, E-Mail — in einer gemeinsamen Erkennungs- und Reaktionsschicht zusammen. Ziel ist es, isolierte Einzelalarme zu einer zusammenhängenden Angriffsgeschichte zu verknüpfen und so schneller zu erkennen und gezielter zu reagieren. XDR ist damit die domänenübergreifende Weiterentwicklung von EDR.; Detail-Seite öffnen →
XIEMErweitertes Sicherheitsvorfall- und Ereignis-ManagementExtended Security Incident and Event Management: XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command. Der Leitgedanke: durchgehende Sichtbarkeit von der Erkennung bis zur belastbaren Reaktion, ohne dass eine Einrichtung eigene 24/7-Kapazitäten aufbauen muss.; Detail-Seite öffnen →Originalquelle ↗
ZAITZahlungsdiensteaufsichtliche Anforderungen an die ITPayment Services Supervisory Requirements for IT (Germany): Die ZAIT waren das BaFin-Rundschreiben, das die IT-aufsichtlichen Erwartungen für Zahlungsdienstleister und E-Geld-Institute konkretisierte — das jüngste Mitglied der xAIT-Familie. Sie übertrugen die bewährten Grundsätze zu IT-Sicherheit und Auslagerung auf einen besonders dynamischen, technologiegetriebenen Sektor. Mit der EU-Verordnung DORA wurden sie aufgehoben.; Detail-Seite öffnen →Originalquelle ↗

Institutionen

ANSSIFranzösische nationale CybersicherheitsbehördeFrench National Cybersecurity Agency: Die ANSSI ist die nationale Cybersicherheitsbehörde Frankreichs. Sie ist zuständig für den Schutz staatlicher und kritischer Informationssysteme, gibt Sicherheitsvorgaben und Zertifizierungen heraus und betreibt das nationale CERT-FR. Innerhalb Europas zählt sie zu den prägenden, technisch besonders einflussreichen Behörden.; Detail-Seite öffnen →Originalquelle ↗
BaFinBundesanstalt für FinanzdienstleistungsaufsichtFederal Financial Supervisory Authority (Germany): Die BaFin ist die deutsche Aufsichtsbehörde für Banken, Versicherer, Kapitalverwaltungs- und Zahlungsdienstleister, gegründet 2002 mit Sitz in Bonn und Frankfurt am Main. Sie überwacht die Stabilität und Integrität des Finanzsektors und hat dafür über Jahre die IT-aufsichtlichen Rundschreiben der xAIT-Familie (BAIT, VAIT, KAIT, ZAIT) erlassen. Mit der EU-Verordnung DORA ist sie zugleich zentrale nationale Aufsicht für die digitale operationale Resilienz.; Detail-Seite öffnen →Originalquelle ↗
BSIBundesamt für Sicherheit in der InformationstechnikFederal Office for Information Security (Germany): Das BSI ist die zentrale deutsche Behörde für Cybersicherheit mit Sitz in Bonn. Es gestaltet Informationssicherheit für Staat, Wirtschaft und Gesellschaft, gibt Standards wie den IT-Grundschutz heraus, betreibt mit CERT-Bund die nationale Vorfallskoordination und ist zentrale Aufsichts-, Registrierungs- und Meldestelle für KRITIS und NIS2. Für deutsche Organisationen ist es die maßgebliche staatliche Referenz.; Detail-Seite öffnen →Originalquelle ↗
CERT-BundComputer-Notfallteam des BundesComputer Emergency Response Team of the German Federal Administration: CERT-Bund ist das im BSI angesiedelte Computer-Notfallteam des Bundes. Es beobachtet die Bedrohungslage, warnt über den Warn- und Informationsdienst (WID) vor akuten Schwachstellen und Angriffskampagnen und koordiniert die Reaktion auf Sicherheitsvorfälle in Bundesbehörden und darüber hinaus. Es ist der operative Arm der staatlichen Vorfallsbewältigung in Deutschland.; Detail-Seite öffnen →Originalquelle ↗
CERT-FRStaatliches Computer-Notfallteam FrankreichsFrench Governmental Computer Emergency Response Team: CERT-FR ist das von der ANSSI betriebene staatliche Computer-Notfallteam Frankreichs. Es beobachtet Bedrohungen, veröffentlicht Warnungen und Analysen und koordiniert die Reaktion auf Sicherheitsvorfälle mit nationaler Relevanz. Seine technischen Hinweise gelten über Frankreich hinaus als hochwertige Quelle.; Detail-Seite öffnen →Originalquelle ↗
CISAUS-Behörde für Cyber- und InfrastruktursicherheitCybersecurity and Infrastructure Security Agency (USA): Die CISA ist die zivile Cybersicherheitsbehörde der USA, angesiedelt im Heimatschutzministerium. Sie schützt kritische Infrastrukturen, koordiniert die nationale Vorfallsbewältigung und betreibt den weltweit beachteten Katalog bekannter ausgenutzter Schwachstellen (KEV). Zudem ist sie der staatliche Sponsor des CVE-Programms.; Detail-Seite öffnen →Originalquelle ↗
CNACVE-VergabestelleCVE Numbering Authority: Eine CNA ist eine vom CVE-Programm autorisierte Stelle, die für ihren definierten Zuständigkeitsbereich eigenständig CVE-IDs vergeben darf — etwa ein Hersteller für seine eigenen Produkte. Dieses dezentrale Modell verteilt die Last der Schwachstellen-Erfassung auf viele Schultern. Es ist das organisatorische Rückgrat hinter der scheinbar simplen CVE-Nummer.; Detail-Seite öffnen →Originalquelle ↗
ENISAAgentur der Europäischen Union für CybersicherheitEuropean Union Agency for Cybersecurity: Die ENISA ist die Cybersicherheitsagentur der Europäischen Union. Sie unterstützt Mitgliedstaaten und Institutionen mit Expertise, koordiniert europaweite Zusammenarbeit und spielt eine zentrale Rolle bei der Umsetzung von NIS2, dem Cyber Resilience Act und den europäischen Zertifizierungsschemata. Sie ist die fachliche Klammer der EU-Cybersicherheitspolitik.; Detail-Seite öffnen →Originalquelle ↗
EuropolEuropäisches Polizeiamt (inkl. EC3)European Union Agency for Law Enforcement Cooperation (incl. EC3): Europol ist die Strafverfolgungsbehörde der Europäischen Union mit Sitz in Den Haag, die die Polizeien der Mitgliedstaaten bei der Bekämpfung schwerer und organisierter Kriminalität unterstützt und vernetzt. Für Cyberkriminalität betreibt Europol das Europäische Zentrum zur Bekämpfung der Cyberkriminalität (EC3). Es ist die zentrale Drehscheibe der EU im Kampf gegen Cybercrime.; Detail-Seite öffnen →Originalquelle ↗
FIRSTInternationaler Verbund von Notfall- und SicherheitsteamsForum of Incident Response and Security Teams: FIRST ist der internationale Dachverband der Vorfallsreaktions- und Sicherheitsteams (CERTs, CSIRTs, PSIRTs). Er fördert die weltweite Zusammenarbeit bei der Bewältigung von Sicherheitsvorfällen und betreut zentrale offene Standards — darunter CVSS, EPSS und das TLP-Modell. Damit prägt FIRST die gemeinsame Sprache der Verteidiger.; Detail-Seite öffnen →Originalquelle ↗
MSRCMicrosoft-SicherheitsreaktionszentrumMicrosoft Security Response Center: Das MSRC ist die zentrale Stelle bei Microsoft für die Bearbeitung und Veröffentlichung von Sicherheitslücken in Microsoft-Produkten. Es koordiniert die Reaktion auf gemeldete Schwachstellen, vergibt als CNA eigene CVE-IDs und veröffentlicht die monatlichen Sammel-Updates. Angesichts der Verbreitung von Microsoft-Software ist es eine der folgenreichsten herstellereigenen Stellen überhaupt.; Detail-Seite öffnen →Originalquelle ↗
NCSC-NLNationales Cybersicherheitszentrum der NiederlandeNational Cyber Security Centre (Netherlands): Das NCSC-NL ist das nationale Cybersicherheitszentrum der Niederlande. Es unterstützt staatliche Stellen und Betreiber kritischer Infrastrukturen mit Lagebild, Warnungen und Vorfallskoordination und ist Teil des europäischen Netzes nationaler Cybersicherheitsstellen. Es gilt als aktiv und international gut vernetzt.; Detail-Seite öffnen →Originalquelle ↗
NISTUS-Institut für Standards und TechnologieNational Institute of Standards and Technology (USA): Das NIST ist die US-amerikanische Normungs- und Technologiebehörde, deren Veröffentlichungen weit über die USA hinaus Maßstäbe setzen. Im Sicherheitsbereich betreibt es die National Vulnerability Database (NVD), gibt das vielbeachtete Cybersecurity Framework heraus und veröffentlicht die einflussreiche Normenreihe der SP-800-Dokumente. Seine Standards prägen die globale Sicherheitspraxis.; Detail-Seite öffnen →Originalquelle ↗
PSIRTProdukt-SicherheitsreaktionsteamProduct Security Incident Response Team: Ein PSIRT ist die herstellerseitige Stelle, die Sicherheitslücken in den eigenen Produkten bearbeitet — von der Entgegennahme einer Meldung über die Behebung bis zur Veröffentlichung eines Advisories. Es ist das Gegenstück zum internen CSIRT, das die eigene Organisation schützt: Ein PSIRT schützt die Kunden des Herstellers. Mit der Produktregulierung gewinnt diese Funktion stark an Bedeutung.; Detail-Seite öffnen →Originalquelle ↗
SANSSANS Institute: Das SANS Institute ist eine der bekanntesten privaten Einrichtungen für Aus- und Weiterbildung sowie Forschung im Bereich Informationssicherheit. Es bietet praxisnahe Schulungen und Zertifizierungen an, veröffentlicht weithin genutzte Leitfäden und betreibt mit dem Internet Storm Center eine aktive Lagebeobachtung. Im Gegensatz zu den staatlichen Stellen ist es ein kommerzieller, aber fachlich angesehener Akteur.; Detail-Seite öffnen →Originalquelle ↗
ZACZentrale Ansprechstellen CybercrimeCentral Cybercrime Contact Points (Germany): Die Zentralen Ansprechstellen Cybercrime (ZAC) sind die polizeilichen Kontaktstellen des Bundes und der Länder, an die sich Unternehmen und Institutionen bei IT-Sicherheitsvorfällen wenden können. Sie nehmen Vorfälle entgegen, beraten und leiten erste strafverfolgende Maßnahmen ein. Für die Wirtschaft sind sie der direkte Draht zur Polizei im Cyber-Ernstfall.; Detail-Seite öffnen →Originalquelle ↗

Daten-Quellen

abuse.chGemeinnützige Threat-Intelligence-Quelleabuse.ch — Community Threat Intelligence: abuse.ch ist eine im akademischen Umfeld der Schweiz betriebene, gemeinnützige Initiative, die frei nutzbare Threat-Intelligence-Dienste bereitstellt. Über mehrere Plattformen sammelt und teilt sie Indikatoren zu Schadsoftware, Steuerservern und bösartigen Dateien. Sie zählt zu den am breitesten genutzten offenen Quellen der Verteidiger-Gemeinschaft.; Detail-Seite öffnen →Originalquelle ↗
ACSAllianz für Cyber-SicherheitAlliance for Cyber Security (Germany): Die Allianz für Cyber-Sicherheit ist eine Initiative des BSI für Wirtschaft und Behörden, die Wissen und Warnmeldungen zur Cybersicherheit bündelt und verbreitet. Sie veröffentlicht Hinweise, Handlungsempfehlungen und Lageinformationen und vernetzt teilnehmende Organisationen. Sie ist damit ein niederschwelliger Zugang zu staatlich getragenem Sicherheitswissen.; Detail-Seite öffnen →Originalquelle ↗
CrowdSecKollaborative Angriffserkennung und -abwehrCrowdSec — Collaborative Intrusion Prevention: CrowdSec ist eine quelloffene Lösung zur verhaltensbasierten Angriffserkennung und -abwehr, deren Besonderheit die kollektive Komponente ist: Teilnehmende Installationen teilen Signale über bösartige Adressen und speisen so eine gemeinschaftliche Sperrliste. Wer einmal irgendwo auffällig wird, kann vielerorts blockiert werden. Das Modell überträgt den Schwarm-Gedanken auf die Netzabwehr.; Detail-Seite öffnen →Originalquelle ↗
EUVDSchwachstellendatenbank der Europäischen UnionEuropean Union Vulnerability Database: Die EUVD ist die von der ENISA betriebene Schwachstellendatenbank der Europäischen Union. Sie führt öffentlich verfügbare Informationen zu Schwachstellen aus vielen Quellen zusammen — darunter das CVE-Programm und der KEV-Katalog — und vergibt eigene EUVD-Kennungen. Sie ist als europäische, souveräne Ergänzung der etablierten Quellen angelegt, nicht als deren Ersatz.; Detail-Seite öffnen →Originalquelle ↗
MalpediaEnzyklopädie für SchadsoftwareMalpedia — Malware Encyclopedia: Malpedia ist eine kuratierte, frei zugängliche Wissensbasis zu Schadsoftware-Familien, betrieben am Fraunhofer FKIE. Sie bündelt strukturierte Informationen, Referenzen und Erkennungsmerkmale und schafft so eine gemeinsame, konsistente Benennung von Malware. Für Analyse und Threat Intelligence ist sie ein verlässliches Nachschlagewerk.; Detail-Seite öffnen →Originalquelle ↗
NVDUS-amerikanische SchwachstellendatenbankNational Vulnerability Database (USA): Die NVD ist die vom US-amerikanischen NIST betriebene Schwachstellendatenbank, die CVE-Einträge um Bewertungen, Produktzuordnungen (CPE) und Klassifikationen (CWE) anreichert. Sie war über Jahre die globale Standardreferenz für angereicherte Schwachstellendaten. Seit 2024 kämpft sie jedoch mit einem erheblichen Bearbeitungsrückstand.; Detail-Seite öffnen →Originalquelle ↗
OSVSchwachstellendatenbank für Open-Source-SoftwareOpen Source Vulnerabilities: OSV ist eine offene Schwachstellendatenbank und ein zugehöriges Datenschema mit Fokus auf Open-Source-Abhängigkeiten. Statt an Produktnamen knüpft OSV präzise an Paketversionen in den jeweiligen Sprach-Ökosystemen an und beantwortet so die Frage, ob eine konkrete Abhängigkeit betroffen ist. Für die Sicherheit der Software-Lieferkette ist das ein entscheidender Unterschied.; Detail-Seite öffnen →Originalquelle ↗
OTXOffene Plattform zum Austausch von BedrohungsdatenOpen Threat Exchange: OTX ist eine offene, community-getriebene Plattform zum Austausch von Bedrohungsdaten, ursprünglich von AlienVault begründet. Nutzer teilen sogenannte Pulses — gebündelte Indikatoren zu einer Kampagne oder Bedrohung — und können sie in eigene Werkzeuge übernehmen. OTX gehört zu den bekanntesten frei zugänglichen Sammelpunkten für Indikatoren.; Detail-Seite öffnen →Originalquelle ↗
VirusTotalMulti-Engine-Analysedienst für Dateien und URLsVirusTotal: VirusTotal ist ein weit verbreiteter Online-Dienst, der eingereichte Dateien und URLs mit zahlreichen Erkennungs-Engines gleichzeitig prüft und das Ergebnis zusammenführt. Darüber hinaus dient er als riesige, durchsuchbare Wissensbasis über bereits gesehene Artefakte und ihre Beziehungen. Für die schnelle Ersteinschätzung verdächtiger Objekte ist er ein Standardwerkzeug.; Detail-Seite öffnen →Originalquelle ↗
WIDWarn- und Informationsdienst des CERT-BundWarning and Information Service (CERT-Bund): Der WID ist der Warn- und Informationsdienst des CERT-Bund im BSI. Er veröffentlicht strukturierte Warnmeldungen zu Schwachstellen in verbreiteten Produkten, jeweils mit Einstufung, betroffenen Versionen und Handlungsempfehlungen. Für deutschsprachige Organisationen ist er eine verlässliche, behördliche Frühwarnquelle.; Detail-Seite öffnen →Originalquelle ↗

Konzepte

AIKünstliche IntelligenzArtificial Intelligence: Künstliche Intelligenz bezeichnet Verfahren, mit denen Maschinen Aufgaben lösen, die bislang menschliche Urteilskraft erforderten — etwa Muster in großen Datenmengen erkennen oder Sprache verarbeiten. In der Cybersicherheit wirkt KI in beide Richtungen: Sie verbessert Erkennung und Triage, befähigt aber zugleich Angreifer. Sie ist Werkzeug und Bedrohung in einem.; Detail-Seite öffnen →
Air GapAir Gap (physische Netztrennung)Air Gap: Ein Air Gap ist die vollständige physische Trennung eines Systems oder Netzes von allen anderen Netzen, insbesondere vom Internet. Die Idee: Was nicht verbunden ist, kann auch nicht aus der Ferne angegriffen werden. In der Praxis ist diese Trennung jedoch seltener und durchlässiger, als viele annehmen.; Detail-Seite öffnen →
APTFortgeschrittene, andauernde BedrohungAdvanced Persistent Threat: Ein APT ist ein gut ausgestatteter, zielgerichteter Angreifer, der sich dauerhaft und möglichst unentdeckt in einem Netzwerk festsetzt, statt schnellen Schaden zu suchen. Charakteristisch sind Geduld, maßgeschneidertes Vorgehen und oft staatliche oder kriminelle Ressourcen im Hintergrund. Der Begriff beschreibt weniger eine einzelne Technik als ein Bedrohungsprofil.; Detail-Seite öffnen →
APT-LifecycleLebenszyklus eines gezielten AngriffsAPT Lifecycle / Cyber Kill Chain: Der APT-Lebenszyklus beschreibt die typischen Phasen eines gezielten Angriffs — von der Aufklärung über den Erstzugang und das Festsetzen bis zur lateralen Bewegung und zum eigentlichen Ziel. Solche Modelle machen sichtbar, dass ein Angriff kein einzelner Moment, sondern eine Abfolge ist. Jede Phase bietet eine Chance zur Erkennung und Unterbrechung.; Detail-Seite öffnen →
BCMBetriebliches Kontinuitätsmanagement / NotfallmanagementBusiness Continuity Management: BCM ist die organisierte Vorsorge, die sicherstellt, dass ein Unternehmen auch während und nach einer schweren Störung — etwa einem Cyberangriff — handlungsfähig bleibt und kritische Abläufe aufrechterhalten oder schnell wiederherstellen kann. Es beantwortet die Frage „Was tun wir, wenn es trotzdem passiert?“. Spätestens Ransomware hat BCM aus der Theorie in die gelebte Praxis gezwungen.; Detail-Seite öffnen →
Bug BountyBelohnungsprogramm für SchwachstellenmeldungenBug Bounty Programme: Ein Bug-Bounty-Programm lädt externe Sicherheitsforscher ein, Schwachstellen in definierten Systemen zu suchen, und belohnt verantwortungsvoll gemeldete Funde finanziell. Es macht aus potenziellen Angreifern verbündete Tester und nutzt die Schwarmintelligenz der Forschungsgemeinschaft. Voraussetzung ist ein klarer Rahmen, der erlaubtes Vorgehen und Belohnungen festlegt.; Detail-Seite öffnen →
C2Steuerung kompromittierter SystemeCommand and Control: C2 bezeichnet die Infrastruktur und Kommunikation, über die ein Angreifer kompromittierte Systeme fernsteuert — Befehle erteilt, Daten abzieht und weitere Schadsoftware nachlädt. Sie ist die Nabelschnur zwischen Angreifer und Opfer. Ihre Erkennung ist einer der wirksamsten Hebel, um einen laufenden Angriff zu stoppen.; Detail-Seite öffnen →
CVDKoordinierte Offenlegung von SchwachstellenCoordinated Vulnerability Disclosure: CVD bezeichnet das abgestimmte Vorgehen, bei dem der Finder einer Schwachstelle und der betroffene Hersteller die Veröffentlichung gemeinsam steuern: erst beheben, dann offenlegen. Ziel ist, Nutzer zu schützen, ohne Angreifern unnötig Zeitvorsprung zu verschaffen. CVD ist der heute breit akzeptierte Mittelweg zwischen sofortiger Geheimhaltung und sofortiger Vollveröffentlichung.; Detail-Seite öffnen →
Full DisclosureSofortige Vollveröffentlichung von SchwachstellenFull Disclosure: Full Disclosure bezeichnet die Praxis, alle Details einer Schwachstelle sofort und vollständig öffentlich zu machen — ohne Schonfrist für den Hersteller. Die Befürworter argumentieren mit Transparenz und maximalem Druck zur schnellen Behebung; Kritiker verweisen auf das Risiko, Angreifern eine fertige Vorlage zu liefern. Es ist der radikale Gegenpol zur koordinierten Offenlegung.; Detail-Seite öffnen →
HashverfahrenKryptografisches HashverfahrenCryptographic Hash Function: Ein Hashverfahren bildet beliebige Daten auf einen Wert fester Länge ab — den Hash oder Fingerabdruck. Gute kryptografische Hashverfahren sind praktisch nicht umkehrbar, und schon eine winzige Änderung der Eingabe ändert den Hash vollständig. Diese Eigenschaften machen sie zum Werkzeug für Integritätsprüfung, Wiedererkennung und forensische Beweissicherung.; Detail-Seite öffnen →
HDDMagnetische FestplatteHard Disk Drive: Eine HDD ist ein magnetisches Speichermedium mit rotierenden Scheiben und beweglichen Schreib-/Leseköpfen. In der IT-Forensik ist sie besonders dankbar: Gelöschte Daten bleiben oft physisch erhalten, bis sie überschrieben werden, sodass sich vieles rekonstruieren lässt. Im Vergleich zur SSD ist ihr Verhalten für die Beweissicherung berechenbarer.; Detail-Seite öffnen →
HoneypotKöder- bzw. TäuschungssystemHoneypot: Ein Honeypot ist ein bewusst verwundbar oder attraktiv wirkendes Köder-System, das keinen produktiven Zweck hat — und genau deshalb ein wertvolles Frühwarnsignal ist: Jede Interaktion damit ist verdächtig. Honeypots dienen dazu, Angreifer anzulocken, ihr Vorgehen zu studieren und Angriffe früh zu erkennen. Sie sind ein klassisches Mittel der Täuschungstechnik (Deception).; Detail-Seite öffnen →
HoneytokenHoneytoken (Köder-Artefakt)Honeytoken: Ein Honeytoken ist ein bewusst platzierter digitaler Köder — etwa eine gefälschte Zugangsdatei, ein Lockvogel-Datensatz oder ein präparierter Link —, der keinerlei legitimen Zweck hat und allein dazu dient, Alarm zu schlagen, sobald ihn jemand berührt. Jede Nutzung ist per Definition verdächtig. Honeytokens sind die kleinste, eleganteste Form der Täuschungstechnik.; Detail-Seite öffnen →
IACSIndustrielle Automatisierungs- und SteuerungssystemeIndustrial Automation and Control Systems: IACS ist der Oberbegriff für die Gesamtheit der Systeme, die industrielle Prozesse automatisieren und steuern — von Sensoren und Steuerungen über Leitsysteme bis zu den zugehörigen Netzen. Er umfasst die engeren Begriffe ICS, SCADA und DCS. IACS ist der Bezugsrahmen, auf den sich die Sicherheitsnormenreihe IEC 62443 ausdrücklich bezieht.; Detail-Seite öffnen →
ICSIndustrielle SteuerungssystemeIndustrial Control Systems: ICS bezeichnet die Steuerungssysteme, die industrielle Prozesse überwachen und regeln — etwa in Fertigung, Energieversorgung oder Wasserwirtschaft. Dazu gehören Komponenten wie speicherprogrammierbare Steuerungen (PLC), Leitsysteme (SCADA, DCS) und Bedienoberflächen (HMI). Anders als in der Büro-IT geht es hier um die direkte Steuerung physischer Vorgänge.; Detail-Seite öffnen →
IoCKompromittierungsindikatorIndicator of Compromise: Ein IoC ist ein konkretes, beobachtbares Artefakt, das auf eine Kompromittierung hindeutet — etwa eine schädliche IP-Adresse, eine Domain, ein Datei-Hash oder ein verdächtiger Registry-Eintrag. IoCs sind die handfeste Währung der Threat Intelligence: Sie lassen sich teilen und automatisiert gegen die eigene Umgebung abgleichen. Sie beschreiben jedoch die Spur, nicht das Verhalten.; Detail-Seite öffnen →
KIKünstliche IntelligenzArtificial Intelligence (German term): KI ist der deutsche Begriff für Künstliche Intelligenz (engl. AI) — Verfahren, mit denen Maschinen Aufgaben übernehmen, die zuvor menschliche Urteilskraft verlangten. In der Cybersicherheit ist KI Werkzeug und Bedrohung zugleich. Über die Technik hinaus gewinnt in Europa die regulatorische Einordnung an Bedeutung.; Detail-Seite öffnen →
Lateral MovementLaterale BewegungLateral Movement: Lateral Movement bezeichnet die Phase eines Angriffs, in der sich ein Eindringling vom ersten kompromittierten System aus seitwärts durch das Netz bewegt, um an wertvollere Ziele und höhere Rechte zu gelangen. Der erste Treffer ist selten das eigentliche Ziel. Diese Ausbreitung sichtbar zu machen, ist eine der wichtigsten Aufgaben der Erkennung.; Detail-Seite öffnen →
Living off the LandLiving off the Land (Leben vom Land)Living off the Land (LotL): Living off the Land bezeichnet eine Angriffstechnik, bei der die Angreifer keine eigene Schadsoftware mitbringen, sondern die bereits vorhandenen, legitimen Bordmittel des Systems missbrauchen — etwa Verwaltungswerkzeuge und Skriptsprachen des Betriebssystems. So tarnen sie sich als normaler Betrieb. Genau das macht sie für klassische Virenschutzlösungen so schwer fassbar.; Detail-Seite öffnen →
MFAMehrfaktorauthentisierungMulti-Factor Authentication: MFA verlangt beim Anmelden mehr als nur ein Passwort: Zusätzlich ist mindestens ein weiterer, unabhängiger Faktor nötig — etwa ein Code aus einer App, ein Hardware-Schlüssel oder ein biometrisches Merkmal. Selbst wenn ein Passwort gestohlen wird, bleibt der Zugang so versperrt. MFA ist eine der wirksamsten Einzelmaßnahmen gegen Kontoübernahmen.; Detail-Seite öffnen →
OSINTOpen Source Intelligence: OSINT ist die Gewinnung von Erkenntnissen aus frei und öffentlich zugänglichen Quellen — Webseiten, Register, soziale Medien, technische Datenbanken und mehr. Sie ist legal und nutzt ausschließlich, was ohnehin offen verfügbar ist. Sowohl Verteidiger als auch Angreifer betreiben OSINT — nur mit umgekehrtem Vorzeichen.; Detail-Seite öffnen →
OTBetriebstechnikOperational Technology: OT bezeichnet die Hard- und Software, die physische Prozesse und Anlagen direkt überwacht und steuert — im Gegensatz zur klassischen, datenverarbeitenden IT. Dazu gehören Steuerungen, Sensoren und Leitsysteme in Produktion, Energie, Wasser oder Gebäudetechnik. In der OT zählt zuerst die Verfügbarkeit und die Sicherheit des physischen Prozesses.; Detail-Seite öffnen →
PentestPenetrationstestPenetration Test: Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf ein System, um ausnutzbare Schwachstellen aufzudecken, bevor es echte Angreifer tun. Anders als ein automatisierter Schwachstellenscan kombiniert er Werkzeuge mit menschlicher Kreativität und Verkettung mehrerer Schwächen. Das Ergebnis ist eine belegte Aussage darüber, was ein Angreifer tatsächlich erreichen könnte.; Detail-Seite öffnen →
PIIPersonenbezogene bzw. personenidentifizierende DatenPersonally Identifiable Information: PII bezeichnet Informationen, mit denen sich eine konkrete Person identifizieren lässt — direkt (Name, Ausweisnummer) oder in Kombination mehrerer Merkmale. In Europa ist der weiter gefasste Begriff der personenbezogenen Daten der DSGVO maßgeblich. Der Schutz solcher Daten ist nicht nur Sicherheits-, sondern auch Rechtspflicht.; Detail-Seite öffnen →
Plausible DeniabilityGlaubhafte AbstreitbarkeitPlausible Deniability: Plausible Deniability bezeichnet die Eigenschaft eines Systems, die Existenz bestimmter Daten glaubhaft bestreiten zu können — etwa durch verborgene, verschlüsselte Bereiche, deren Vorhandensein sich nicht nachweisen lässt. Das Konzept stammt aus der Kryptografie und der Verschleierung. In der Forensik ist es eine Herausforderung, weil es gezielt Beweisbarkeit untergräbt.; Detail-Seite öffnen →
Red TeamAngreiferteam zur realistischen SicherheitsprüfungRed Team: Ein Red Team simuliert einen realistischen Angreifer mit einem konkreten Ziel — etwa Zugriff auf eine bestimmte Information — und nutzt dabei alle Wege: Technik, Mensch und Prozess. Anders als ein Pentest, der Schwachstellen in einem Scope auflistet, prüft das Red Team die Erkennungs- und Reaktionsfähigkeit der Verteidiger im Ganzen. Es geht um die Frage: Würden wir es überhaupt merken?; Detail-Seite öffnen →
Responsible DisclosureVerantwortungsvolle OffenlegungResponsible Disclosure: Responsible Disclosure bezeichnet die Praxis, eine gefundene Schwachstelle zunächst vertraulich dem Hersteller zu melden und ihm Zeit zur Behebung zu geben, bevor Details veröffentlicht werden. Sie ist der ältere Begriff für das, was heute meist als koordinierte Offenlegung (CVD) bezeichnet wird. Der Kerngedanke: Nutzer schützen, statt mit dem Fund zu glänzen.; Detail-Seite öffnen →
SandboxIsolierte AusführungsumgebungSandbox: Eine Sandbox ist eine abgeschottete Umgebung, in der sich verdächtiger Code gefahrlos ausführen und beobachten lässt, ohne das produktive System zu gefährden. Sie ist ein zentrales Werkzeug der dynamischen Malware-Analyse: Statt eine Datei nur statisch zu prüfen, sieht man, was sie tatsächlich tut. Zugleich ist Sandboxing ein Schutzprinzip moderner Software.; Detail-Seite öffnen →
SBOMSoftware-StücklisteSoftware Bill of Materials: Eine SBOM ist ein maschinenlesbares Verzeichnis aller Komponenten, aus denen sich eine Software zusammensetzt — gewissermaßen die Zutatenliste eines Programms, inklusive aller eingebundenen Bibliotheken. Sie ist die Grundlage, um bei einer neuen Schwachstelle sofort zu wissen, ob und wo man betroffen ist. In der EU wird sie durch den Cyber Resilience Act zur Pflicht.; Detail-Seite öffnen →Originalquelle ↗
SHA-256Sicheres Hashverfahren mit 256 BitSecure Hash Algorithm 256-bit: SHA-256 ist ein weit verbreitetes kryptografisches Hashverfahren aus der SHA-2-Familie, das aus beliebigen Daten einen 256 Bit langen Fingerabdruck erzeugt. Es gilt nach heutigem Stand als sicher und ist der De-facto-Standard für Integritätsprüfung, digitale Signaturen und die Identifikation von Dateien. In der Forensik ist es das übliche Verfahren zur Beweissicherung.; Detail-Seite öffnen →
SOCSicherheits-Leitstand / Security Operations CenterSecurity Operations Center: Ein SOC ist die Kombination aus Menschen, Prozessen und Technik, die Sicherheitsereignisse kontinuierlich überwacht, Vorfälle erkennt, bewertet und die Reaktion steuert. Es ist der organisatorische Ort, an dem aus SIEM-Alarmen tatsächliche Entscheidungen und Gegenmaßnahmen werden. Maßgebliche Kennzahlen sind die mittlere Zeit bis zur Erkennung (MTTD) und bis zur Reaktion (MTTR).; Detail-Seite öffnen →
SSDHalbleiterlaufwerkSolid State Drive: Eine SSD speichert Daten in Flash-Speicherzellen ohne bewegliche Teile und ist damit schneller und robuster als eine magnetische Festplatte. Für die Forensik bringt sie jedoch eine Tücke mit: Mechanismen wie TRIM und interne Speicherverwaltung können gelöschte Daten eigenständig und schnell endgültig vernichten. Das macht die Beweissicherung anspruchsvoller als bei einer HDD.; Detail-Seite öffnen →
SteganographieVerbergen von Informationen in unverdächtigen TrägernSteganography: Steganographie ist die Kunst, Informationen so zu verbergen, dass schon ihre bloße Existenz unerkannt bleibt — etwa indem Daten unsichtbar in einem Bild, einer Audiodatei oder einem Dokument eingebettet werden. Anders als die Verschlüsselung, die den Inhalt unlesbar macht, versteckt die Steganographie die Botschaft selbst. Beide Techniken lassen sich auch kombinieren.; Detail-Seite öffnen →
Threat HuntingThreat Hunting (proaktive Bedrohungssuche)Threat Hunting: Threat Hunting ist die proaktive, hypothesengeleitete Suche nach Angreifern, die bereits im Netz sind, aber von automatischen Alarmen noch nicht erfasst wurden. Statt auf einen Alarm zu warten, geht der Hunter aktiv auf die Jagd nach verdächtigen Spuren. Es ist die Antwort auf die Erkenntnis, dass kein Erkennungssystem alles fängt.; Detail-Seite öffnen →
Threat IntelligenceCyber Threat IntelligenceCyber Threat Intelligence (CTI): Threat Intelligence ist aufbereitetes Wissen über Bedrohungen — über Angreifer, ihre Werkzeuge, Vorgehensweisen und Indikatoren —, das aus Rohdaten zu handlungsrelevanten Erkenntnissen verdichtet wird. Sie beantwortet nicht nur „Was ist passiert?“, sondern „Wer bedroht uns wie, und was tun wir dagegen?“. Gute Threat Intelligence verwandelt Daten in Entscheidungen.; Detail-Seite öffnen →
TTPTaktiken, Techniken und ProzedurenTactics, Techniques, and Procedures: TTP steht für Tactics, Techniques and Procedures — die Beschreibung des Verhaltens von Angreifern auf drei Ebenen: das übergeordnete Ziel (Taktik), die Methode dorthin (Technik) und die konkrete Umsetzung (Prozedur). TTPs beschreiben, wie ein Angreifer arbeitet, nicht bloß welche Werkzeuge er nutzt. Genau deshalb sind sie so aussagekräftig und schwer zu fälschen.; Detail-Seite öffnen →
VerschlüsselungVerschlüsselungEncryption: Verschlüsselung wandelt lesbare Daten mithilfe eines Schlüssels in eine unlesbare Form um, sodass nur Befugte mit dem passenden Schlüssel sie wieder entschlüsseln können. Sie ist das grundlegende Werkzeug, um Vertraulichkeit zu schützen — bei der Übertragung wie bei der Speicherung. Ohne sie gäbe es kein sicheres Internet und keinen wirksamen Datenschutz.; Detail-Seite öffnen →
VEXVulnerability Exploitability eXchange: VEX ist ein maschinenlesbares Format, mit dem ein Hersteller mitteilt, ob ein Produkt von einer bestimmten Schwachstelle tatsächlich betroffen und ausnutzbar ist — oder eben nicht. Es ist die wichtigste Ergänzung zur SBOM, weil es die Flut potenzieller Treffer auf die wirklich relevanten reduziert. Es beantwortet die Frage „Betrifft mich das überhaupt?“.; Detail-Seite öffnen →
WazuhQuelloffene SicherheitsplattformWazuh — Open Source Security Platform: Wazuh ist eine verbreitete quelloffene Sicherheitsplattform, die Funktionen von SIEM und endpunktbasierter Erkennung (XDR) vereint. Über Agenten sammelt sie Ereignisse von Servern, Endpunkten und Cloud-Diensten, wertet sie regelbasiert aus und unterstützt u. a. Integritätsüberwachung, Schwachstellenerkennung und Compliance-Nachweise. Als Open Source ist sie ohne Lizenzkosten einsetzbar.; Detail-Seite öffnen →Originalquelle ↗
YARAMustererkennung für SchadsoftwareYARA — Pattern Matching for Malware: YARA ist ein offenes Werkzeug und eine Regelsprache, mit der sich Schadsoftware anhand charakteristischer Muster — Textfragmente, Byte-Folgen, struktureller Merkmale — beschreiben und wiedererkennen lässt. Analysten formulieren Regeln, die eine Malware-Familie identifizieren, und können damit ganze Datei- oder Speicherbestände durchsuchen. YARA gilt als Standardwerkzeug der Malware-Analyse.; Detail-Seite öffnen →Originalquelle ↗
Zero DayZero-Day-SchwachstelleZero-Day Vulnerability / Exploit: Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke, die den Verteidigern (oder dem Hersteller) noch unbekannt ist und für die es daher noch keinen Patch gibt. Der Name rührt daher, dass dem Hersteller „null Tage“ zur Behebung blieben, bevor sie ausgenutzt wurde. Sie ist besonders gefährlich, weil klassische Abwehr auf Bekanntes ausgerichtet ist.; Detail-Seite öffnen →
Zero TrustZero Trust / Zero-Trust-ArchitekturZero Trust / Zero Trust Architecture (ZTA): Zero Trust ist ein Sicherheitsmodell, das mit der Annahme bricht, alles innerhalb des eigenen Netzes sei vertrauenswürdig. Der Leitsatz lautet „never trust, always verify“: Jeder Zugriff wird einzeln, kontextabhängig und fortlaufend geprüft — unabhängig davon, ob er von innen oder außen kommt. Schutz richtet sich nicht mehr an der Netzgrenze aus, sondern an den einzelnen Ressourcen.; Detail-Seite öffnen →Originalquelle ↗

Marker / Klassifikation

KEVKatalog bekannter ausgenutzter SchwachstellenKnown Exploited Vulnerabilities Catalog: Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Eine Schwachstelle im KEV ist kein theoretisches Risiko mehr.; Detail-Seite öffnen →Originalquelle ↗
TLPAmpel-Protokoll zur Einstufung der WeitergabeTraffic Light Protocol: Das Traffic Light Protocol ist ein einfaches, international anerkanntes Farbschema, das festlegt, wie weit eine geteilte Information weitergegeben werden darf. Mit vier Stufen — von „nur für Empfänger“ bis „frei“ — schafft es eine gemeinsame Sprache für den vertraulichen Austausch von Bedrohungsdaten. Es regelt nicht den Inhalt, sondern den erlaubten Empfängerkreis.; Detail-Seite öffnen →Originalquelle ↗
TLP:AMBERTLP-Stufe Gelb — begrenzte WeitergabeTLP:AMBER: TLP:AMBER kennzeichnet Informationen, die nur eingeschränkt weitergegeben werden dürfen — innerhalb der eigenen Organisation und an Kunden oder Klienten, die zum Schutz handeln müssen. Es ist die Stufe für sensible Bedrohungsdaten, die Wirkung entfalten sollen, ohne öffentlich zu werden. Die Verschärfung TLP:AMBER+STRICT begrenzt die Weitergabe auf die eigene Organisation.; Detail-Seite öffnen →Originalquelle ↗
TLP:GREENTLP-Stufe Grün — Weitergabe in der CommunityTLP:GREEN: TLP:GREEN kennzeichnet Informationen, die innerhalb der eigenen Community oder Branche frei geteilt werden dürfen, aber nicht über öffentliche Kanäle verbreitet werden sollen. Es ist die Stufe für Erkenntnisse, von denen ein breiterer Kreis Gleichgesinnter profitieren soll, ohne dass sie der Allgemeinheit — und damit potenziellen Angreifern — offen zugänglich werden.; Detail-Seite öffnen →Originalquelle ↗
TLP:REDTLP-Stufe Rot — keine WeitergabeTLP:RED: TLP:RED ist die strengste Stufe: Die Information ist ausschließlich für die unmittelbar anwesenden oder direkt angesprochenen Empfänger bestimmt und darf an niemanden sonst weitergegeben werden — auch nicht innerhalb der eigenen Organisation. Sie ist für hochsensible Erkenntnisse reserviert, deren Bekanntwerden unmittelbaren Schaden anrichten könnte.; Detail-Seite öffnen →Originalquelle ↗
TLP:WHITETLP-Stufe Weiß bzw. Clear — frei verteilbarTLP:WHITE (now TLP:CLEAR): TLP:WHITE — in der aktuellen Fassung in TLP:CLEAR umbenannt — kennzeichnet Informationen ohne Weitergabebeschränkung: Sie dürfen frei, auch öffentlich, verbreitet werden. Üblich sind dabei die normalen Regeln zu Urheberrecht und korrekter Quellenangabe. Es ist die niedrigste Vertraulichkeitsstufe des Ampel-Protokolls.; Detail-Seite öffnen →Originalquelle ↗

Forensik & DFIR

AntiforensikAnti-ForensikAnti-Forensics: Antiforensik bezeichnet Techniken, mit denen Angreifer ihre Spuren verwischen, Beweise zerstören oder forensische Untersuchungen erschweren — etwa durch Löschen von Protokollen, Manipulation von Zeitstempeln oder Verschleierung von Schadcode. Sie ist die bewusste Gegenbewegung zur forensischen Analyse. Ihr Vorhandensein ist oft selbst ein verräterisches Indiz.; Detail-Seite öffnen →
Chain of CustodyBeweismittelketteChain of Custody: Die Chain of Custody ist die lückenlose Dokumentation, wer ein digitales Beweismittel wann, wo und wie in den Händen hatte — von der Sicherung bis zur Auswertung. Sie belegt, dass die Beweise nicht unbemerkt verändert wurden, und entscheidet damit über ihre Verwertbarkeit. Ohne sie ist selbst der beste forensische Fund vor Gericht angreifbar.; Detail-Seite öffnen →
Cloud-ForensikCloud-ForensikCloud Forensics: Cloud-Forensik ist die forensische Untersuchung von Vorfällen in Cloud-Umgebungen — von Software-Diensten bis zu Infrastruktur bei externen Anbietern. Sie ist besonders anspruchsvoll, weil die Daten verteilt liegen, der physische Zugriff fehlt und man auf die Protokolle und Schnittstellen des Anbieters angewiesen ist. Hier verschiebt sich die Forensik vom Datenträger zur Datenspur.; Detail-Seite öffnen →
DatenakquiseForensische DatenakquiseData Acquisition: Datenakquise ist der erste und kritischste Schritt jeder forensischen Untersuchung: das beweissichere Erfassen der relevanten Daten, bevor sie verändert werden. Ob bei abgeschaltetem System (statisch) oder im laufenden Betrieb (live) — die Reihenfolge richtet sich nach der Flüchtigkeit der Daten. Ein Fehler hier kann die gesamte Untersuchung entwerten.; Detail-Seite öffnen →
DFIRDigitale Forensik und Reaktion auf SicherheitsvorfälleDigital Forensics and Incident Response: DFIR verbindet zwei eng verwandte Disziplinen: die Reaktion auf einen laufenden Sicherheitsvorfall (Incident Response) und die forensische Aufklärung, was genau geschehen ist (Digital Forensics). Das Ziel ist beides zugleich — den Angriff stoppen und ihn beweissicher verstehen. DFIR ist die operative Antwort auf den Ernstfall.; Detail-Seite öffnen →
eDiscoveryElektronische Sichtung von BeweismittelnElectronic discovery: eDiscovery (Electronic Discovery) — Identifikation, Sichtung und Bereitstellung elektronischer Dokumente in Zivilverfahren und internen Ermittlungen. Werkzeuge filtern Millionen Mails, Office-Dateien und Chats auf relevante Träger — Sprung-Heuristiken, OCR und Sentiment-Filter.; Detail-Seite öffnen →
File CarvingWiederherstellung von Dateien anhand ihrer StrukturFile Carving: File Carving ist eine forensische Technik, mit der sich Dateien aus Rohdaten rekonstruieren lassen — auch dann, wenn das Dateisystem keine Verweise mehr enthält. Statt sich auf Verzeichniseinträge zu verlassen, sucht das Verfahren nach charakteristischen Signaturen und Strukturen, die den Anfang und das Ende einer Datei kennzeichnen. So werden gelöschte oder verwaiste Daten sichtbar.; Detail-Seite öffnen →
ImagingForensische DatenträgersicherungForensic Imaging: Imaging bezeichnet das Erstellen einer exakten, bitgenauen Kopie eines Datenträgers für die forensische Untersuchung. Anders als eine normale Kopie erfasst es jeden Sektor — auch gelöschte Bereiche und Slack Space — und wird über einen Hashwert gegen unbemerkte Veränderung abgesichert. Auf dieser Kopie, nicht am Original, wird anschließend gearbeitet.; Detail-Seite öffnen →
IT-ForensikIT-ForensikIT Forensics / Digital Forensics: IT-Forensik ist die methodische, beweissichere Untersuchung digitaler Systeme, um nach einem Vorfall zu rekonstruieren, was geschehen ist — wer, wann, wie und mit welcher Wirkung. Sie verbindet technische Analyse mit strenger Methodik, damit die Ergebnisse nachvollziehbar und gerichtsverwertbar sind. Sie macht aus Datenspuren belastbare Aussagen.; Detail-Seite öffnen →
Live-ForensikLive-ForensikLive Forensics: Live-Forensik ist die Untersuchung eines laufenden, eingeschalteten Systems, um flüchtige Daten zu sichern, die beim Abschalten verloren gingen — etwa den Arbeitsspeicher, aktive Netzwerkverbindungen, laufende Prozesse und entschlüsselte Inhalte. Sie ist unverzichtbar, wenn die entscheidenden Spuren nur im laufenden Betrieb existieren. Jeder Eingriff verändert das System jedoch geringfügig.; Detail-Seite öffnen →
Memory-ForensikSpeicherforensikMemory Forensics: Speicherforensik ist die Analyse des flüchtigen Arbeitsspeichers (RAM) eines Systems. Im Speicher finden sich Spuren, die nirgends sonst existieren: laufende und versteckte Prozesse, entschlüsselte Daten, eingegebene Passwörter, aktive Verbindungen und speicherresidente Schadsoftware. Sie ist oft der einzige Weg, moderne, dateilose Angriffe zu fassen.; Detail-Seite öffnen →
Mobile-ForensikMobilforensikMobile Forensics: Mobilforensik ist die forensische Untersuchung von Smartphones, Tablets und ähnlichen Geräten. Sie ist besonders anspruchsvoll, weil diese Geräte stark verschlüsselt, geschlossen und herstellerspezifisch sind und eine Fülle sensibler Daten enthalten — von Nachrichten über Standorte bis zu App-Spuren. Der Zugriff ist oft die größte Hürde.; Detail-Seite öffnen →
NetzwerkforensikNetzwerkforensikNetwork Forensics: Netzwerkforensik ist die Untersuchung von Netzwerkverkehr und -aufzeichnungen, um einen Angriff zu rekonstruieren — welche Verbindungen bestanden, welche Daten flossen, mit welchen Gegenstellen kommuniziert wurde. Sie betrachtet die Spuren, die ein Angreifer im Netz hinterlässt, statt nur die auf einem Endgerät. Oft ist sie der Schlüssel, um Datenabfluss und Steuerung (C2) nachzuweisen.; Detail-Seite öffnen →
Slack SpaceUngenutzter Restbereich von SpeicherblöckenSlack Space: Slack Space ist der ungenutzte Platz zwischen dem Ende einer Datei und dem Ende des letzten von ihr belegten Speicherblocks. Weil Speicher in festen Blockgrößen vergeben wird, bleibt fast immer ein Rest übrig — und dieser Rest kann Fragmente früherer Daten enthalten. Für die Forensik ist er eine oft übersehene Fundgrube.; Detail-Seite öffnen →
Timeline-AnalyseForensische Zeitleisten-AnalyseTimeline Analysis: Die Timeline-Analyse bringt die zahllosen Zeitstempel eines Systems — von Dateien, Protokollen, Registry-Einträgen und Anwendungen — in eine gemeinsame chronologische Ordnung. So entsteht aus verstreuten Einzelspuren eine zusammenhängende Erzählung des Geschehens. Sie ist eine der wirkungsvollsten Methoden, um den Ablauf eines Vorfalls zu rekonstruieren.; Detail-Seite öffnen →
WipingSicheres Löschen von DatenSecure Wiping / Data Erasure: Wiping bezeichnet das sichere, endgültige Löschen von Daten durch tatsächliches Überschreiben — im Gegensatz zum normalen „Löschen“, das meist nur den Verweis entfernt, während die Inhalte erhalten bleiben. Ziel ist, dass die Daten auch mit forensischen Mitteln nicht mehr rekonstruierbar sind. Es ist die andere Seite der Forensik: das bewusste Vernichten von Spuren.; Detail-Seite öffnen →

Angriffsarten

Brute-ForceBrute-Force-AngriffBrute-Force Attack: Ein Brute-Force-Angriff probiert systematisch alle möglichen Kombinationen durch, um ein Passwort oder einen Schlüssel zu erraten — rohe Rechengewalt statt Raffinesse. Seine Erfolgsaussicht hängt allein von der Stärke des Geheimnisses und den Schutzmaßnahmen ab. Gegen kurze oder schwache Passwörter ist er erschreckend wirksam.; Detail-Seite öffnen →
Buffer OverflowPufferüberlaufBuffer Overflow: Ein Pufferüberlauf entsteht, wenn ein Programm mehr Daten in einen Speicherbereich schreibt, als dieser fassen kann, und dabei benachbarten Speicher überschreibt. Geschickt ausgenutzt, kann ein Angreifer so eigenen Code zur Ausführung bringen. Es ist eine der ältesten und folgenreichsten Klassen von Software-Schwachstellen.; Detail-Seite öffnen →
CHERNOVITECHERNOVITE (Bedrohungsgruppe)CHERNOVITE (Activity Group): CHERNOVITE ist die von Dragos vergebene Bezeichnung für die Angreifergruppe, die den modularen ICS-Werkzeugkasten PIPEDREAM entwickelt hat. Sie wird als staatlich zugeordneter Akteur eingeschätzt, der auf die Beeinträchtigung industrieller Steuerungen ausgerichtet ist. Bemerkenswert ist, dass ihr Werkzeug entdeckt wurde, bevor es zerstörerisch eingesetzt werden konnte.; Detail-Seite öffnen →
DatenexfiltrationDatenexfiltrationData Exfiltration: Datenexfiltration ist der unbefugte Abfluss von Daten aus einer Organisation nach außen — das eigentliche Ziel vieler Angriffe. Sie ist oft der letzte Schritt einer längeren Kette und vollzieht sich gern getarnt, um nicht aufzufallen. Wo sie gelingt, entstehen der größte Schaden und die größten rechtlichen Folgen.; Detail-Seite öffnen →
DDoSVerteilter ÜberlastungsangriffDistributed Denial of Service: Ein DDoS-Angriff überlastet ein Ziel mit einer Flut von Anfragen aus vielen verteilten Quellen gleichzeitig, bis ein Dienst für legitime Nutzer nicht mehr erreichbar ist. Die Verteilung über zahllose Systeme — oft ein Botnetz — macht ihn schwer abzuwehren und zu blockieren. Er greift nicht die Vertraulichkeit, sondern die Verfügbarkeit an.; Detail-Seite öffnen →
DefacementVerunstaltung von WebseitenWebsite Defacement: Defacement ist die unbefugte Veränderung des sichtbaren Inhalts einer Website — Angreifer ersetzen etwa die Startseite durch eine eigene Botschaft. Es ist ein lauter, demonstrativer Angriff, der vor allem auf Sichtbarkeit und Rufschädigung zielt. Anders als heimliche Einbrüche soll Defacement gesehen werden.; Detail-Seite öffnen →
DoSÜberlastungs- bzw. VerfügbarkeitsangriffDenial of Service: Ein DoS-Angriff zielt darauf, einen Dienst oder ein System für legitime Nutzer unverfügbar zu machen — durch Überlastung oder das gezielte Ausnutzen einer Schwachstelle, die das System zum Absturz bringt. Er greift die Verfügbarkeit an, eines der drei Schutzziele der Informationssicherheit. Die verteilte Variante mit vielen Quellen heißt DDoS.; Detail-Seite öffnen →
Drive-by-DownloadUnbemerkter Schadcode-Download beim SeitenbesuchDrive-by Download: Bei einem Drive-by-Download wird Schadcode bereits durch den bloßen Besuch einer manipulierten Website auf das Gerät geladen — ohne dass der Nutzer bewusst etwas herunterlädt oder anklickt. Ausgenutzt werden Schwachstellen im Browser oder in dessen Komponenten. Der Angriff macht das Surfen selbst zum Einfallstor.; Detail-Seite öffnen →
ExploitAusnutzungscode für eine SchwachstelleExploit: Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht. Ein „Zero-Day-Exploit“ nutzt eine noch unbekannte, ungepatchte Schwachstelle.; Detail-Seite öffnen →
Hash-KollisionHash-KollisionHash Collision: Eine Hash-Kollision liegt vor, wenn zwei verschiedene Eingaben denselben Hashwert ergeben. Bei einem sicheren kryptografischen Hashverfahren soll das praktisch unmöglich sein; gelingt es dennoch gezielt, ist das Verfahren gebrochen und für Sicherheitszwecke untauglich. Genau das ist MD5 und SHA-1 widerfahren.; Detail-Seite öffnen →
IndustroyerIndustroyer (CrashOverride)Industroyer / CrashOverride: Industroyer (auch CrashOverride) ist eine ICS-Schadsoftware, die im Dezember 2016 einen Stromausfall in Kiew verursachte und etwa ein Fünftel der Stadt für rund eine Stunde vom Netz trennte. Sie war modular aufgebaut und sprach industrielle Schaltanlagen direkt über deren eigene Protokolle an. Eine Variante, Industroyer2, kam 2022 erneut gegen die Ukraine zum Einsatz.; Detail-Seite öffnen →
InnentäterInnentäter / InnentäterinInsider Threat: Ein Innentäter ist eine Person mit legitimem Zugang — Mitarbeitende, Dienstleister, Partner —, die diesen Zugang zum Schaden der Organisation nutzt oder fahrlässig einen Schaden ermöglicht. Die Bedrohung ist besonders heikel, weil sie von innen kommt, Vertrauen genießt und reguläre Schutzmaßnahmen umgeht. Sie umfasst böswillige wie unbeabsichtigte Fälle.; Detail-Seite öffnen →
Integer OverflowGanzzahlüberlaufInteger Overflow: Ein Integer Overflow entsteht, wenn das Ergebnis einer Rechenoperation den Wertebereich überschreitet, den der verwendete Ganzzahltyp darstellen kann, und unbemerkt „umschlägt“ — etwa von einem sehr großen positiven zu einem negativen Wert. Solche stillen Fehler können Sicherheitsprüfungen aushebeln und in weitere Schwachstellen wie Pufferüberläufe münden.; Detail-Seite öffnen →
KeyloggerTastatureingaben-RekorderKeylogger: Ein Keylogger zeichnet heimlich Tastatureingaben auf, um Passwörter, Nachrichten und andere vertrauliche Eingaben abzugreifen. Er existiert als Software oder als kleines, zwischengeschaltetes Hardwaregerät. Sein Ziel ist das unbemerkte Mitlesen genau an der Stelle, an der Geheimnisse entstehen — der Tastatur.; Detail-Seite öffnen →
MalwareSchadsoftwareMalware (Malicious Software): Malware ist der Oberbegriff für jede Software, die geschrieben wurde, um Schaden anzurichten — Daten zu stehlen, zu verschlüsseln, Systeme zu stören oder Angreifern Kontrolle zu verschaffen. Sie umfasst viele Familien wie Viren, Würmer, Trojaner, Ransomware und Spyware. Sie ist das verbindende Werkzeug hinter den meisten technischen Angriffen.; Detail-Seite öffnen →
MITMMittelsmann-AngriffMan-in-the-Middle attack: Man-in-the-Middle (MITM) — Angreifer schleust sich zwischen zwei Kommunikationspartner und gibt sich gegenüber beiden als der jeweils andere aus. Klassisch im WLAN (Evil-Twin), per ARP-Spoofing, BGP-Hijack oder TLS-Stripping. Gegenmittel: Zertifikats-Pinning, gegenseitige Auth.; Detail-Seite öffnen →
PhishingPhishing: Phishing ist der Versuch, Menschen durch gefälschte Nachrichten zur Preisgabe von Zugangsdaten oder zu schädlichen Handlungen zu verleiten — etwa über eine täuschend echte E-Mail mit Link auf eine nachgebaute Anmeldeseite. Es zielt nicht auf die Technik, sondern auf den Menschen. Es ist einer der häufigsten Erstzugangswege überhaupt.; Detail-Seite öffnen →
PIPEDREAMPIPEDREAM (INCONTROLLER)PIPEDREAM / INCONTROLLER: PIPEDREAM (von Mandiant als INCONTROLLER bezeichnet) ist ein 2022 entdeckter, modularer Werkzeugkasten zum Angriff auf industrielle Steuerungen. Im Unterschied zu früheren ICS-Schadprogrammen ist er nicht auf eine einzelne Anlage zugeschnitten, sondern als wiederverwendbares Baukastensystem gegen verbreitete Geräte ausgelegt. Er gilt als die siebte bekannte ICS-spezifische Schadsoftware.; Detail-Seite öffnen →Originalquelle ↗
Privilege EscalationRechteausweitungPrivilege Escalation: Privilege Escalation bezeichnet das Ausweiten der eigenen Rechte auf einem System über das ursprünglich Erlaubte hinaus — vom einfachen Nutzer zum Administrator. Sie ist ein zentraler Zwischenschritt vieler Angriffe: Erst mit erhöhten Rechten lassen sich Schutzmaßnahmen abschalten, Daten umfassend abgreifen und Persistenz einrichten. Sie verwandelt einen kleinen Fuß in der Tür in volle Kontrolle.; Detail-Seite öffnen →
RansomwareErpressungssoftwareRansomware: Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und für die Freigabe ein Lösegeld fordert. Sie zählt zu den folgenreichsten Bedrohungen für Unternehmen, weil sie den Betrieb unmittelbar lahmlegt. Moderne Varianten kombinieren die Verschlüsselung mit dem Diebstahl und der Androhung einer Veröffentlichung der Daten.; Detail-Seite öffnen →
Rogue APUnautorisierter WLAN-ZugangspunktRogue Access Point: Ein Rogue AP ist ein unautorisierter WLAN-Zugangspunkt — entweder von einem Angreifer aufgestellt, um Nutzer abzufangen, oder von Mitarbeitenden unbedacht ins Netz gehängt. In beiden Fällen entsteht ein unkontrollierter Zugang, der die Netzgrenze umgeht. Eine besonders heikle Variante ist der „Evil Twin“, der ein vertrautes Netz täuschend nachahmt.; Detail-Seite öffnen →
SandwormSandworm (APT-Gruppe)Sandworm (APT): Sandworm ist eine staatlich zugeordnete Angreifergruppe, die für einige der folgenreichsten Angriffe auf kritische Infrastruktur verantwortlich gemacht wird — darunter die Stromausfälle in der Ukraine 2015 und 2016 sowie der Industroyer2-Angriff 2022. Die Gruppe wird der russischen Militäraufklärung (GRU) zugeordnet. Sie steht beispielhaft für die Bedrohung durch einen geduldigen, gut ausgestatteten Akteur (APT).; Detail-Seite öffnen →
Side-ChannelSeitenkanalangriffSide-Channel Attack: Ein Seitenkanalangriff gewinnt geheime Informationen nicht durch das Brechen eines Verfahrens, sondern durch das Beobachten seiner physischen Nebenwirkungen — etwa Stromverbrauch, Laufzeit, elektromagnetische Abstrahlung oder Cache-Verhalten. Statt das Schloss zu knacken, lauscht der Angreifer an seinen Geräuschen. Solche Angriffe sind subtil und oft schwer abzuwehren.; Detail-Seite öffnen →
Smudge AttackSchmierspur-AngriffSmudge Attack: Ein Smudge-Angriff liest die Fingerabdruck-Schmierspuren auf einem Touchscreen aus, um ein Entsperrmuster oder einen PIN zu erraten. Die Fettrückstände der Finger verraten, welche Stellen berührt wurden — und damit oft die Eingabe. Es ist ein einfacher, physischer Angriff ganz ohne Schadsoftware.; Detail-Seite öffnen →
Social EngineeringSoziale ManipulationSocial Engineering: Social Engineering ist die gezielte Manipulation von Menschen, um sie zu Handlungen oder zur Preisgabe von Informationen zu bewegen, die der Sicherheit schaden — der Angriff auf den Menschen statt auf die Technik. Es nutzt Vertrauen, Autorität, Hilfsbereitschaft, Angst und Zeitdruck aus. Phishing ist seine bekannteste, aber bei Weitem nicht einzige Ausprägung.; Detail-Seite öffnen →
StuxnetStuxnet: Stuxnet ist die 2010 entdeckte Schadsoftware, die gezielt die Urananreicherungsanlage im iranischen Natanz sabotierte und dabei rund tausend Zentrifugen zerstörte. Sie gilt als die erste bekannte digitale Waffe, die physischen Schaden in der realen Welt anrichtete. Mit ihr begann die Ära der gezielten Angriffe auf industrielle Steuerungen.; Detail-Seite öffnen →
TritonTriton (TRISIS)Triton / TRISIS: Triton (auch TRISIS oder HatMan) ist die 2017 entdeckte Schadsoftware, die erstmals gezielt ein Sicherheits-Notabschaltsystem (Safety Instrumented System, SIS) angriff — konkret die Triconex-Controller von Schneider Electric in einer Industrieanlage im Nahen Osten. Weil sie genau die Schutzschicht ins Visier nahm, die Menschenleben sichern soll, markiert sie eine besonders gefährliche Eskalation.; Detail-Seite öffnen →
WörterbuchangriffWörterbuchangriffDictionary Attack: Ein Wörterbuchangriff errät Passwörter, indem er gezielt eine Liste wahrscheinlicher Begriffe durchprobiert — echte Wörter, Namen, gängige Muster und bekannte Leak-Passwörter — statt blind alle Kombinationen. Er ist die intelligentere, schnellere Verwandte des reinen Brute-Force-Angriffs. Gegen menschlich gewählte Passwörter ist er besonders erfolgreich.; Detail-Seite öffnen →
XenotimeXenotime (auch TEMP.Veles)Xenotime (a.k.a. TEMP.Veles): Threat-Aktor, dem Dragos die Entwicklung und den Einsatz der Triton/Trisis-Malware (2017, petrochemische Anlage Saudi-Arabien) zuschreibt. Mandiant tracked dieselbe Gruppe als TEMP.Veles und verband sie öffentlich mit dem russischen Forschungsinstitut CNIIHM in Moskau. Aktivität nach 2018 weitete sich auf US-amerikanische und europäische Stromversorger aus — bislang ohne disruptiven Vorfall, aber mit Reconnaissance auf Schutzsystem-Ebene.; Detail-Seite öffnen →

Werkzeuge

ConpotConpot (ICS/SCADA-Honeypot)Conpot ICS/SCADA Honeypot: Conpot ist ein quelloffener Honeypot, der industrielle Steuerungssysteme (ICS/SCADA) nachbildet — inklusive typischer OT-Protokolle wie Modbus oder S7comm. Er macht Angriffe auf industrielle Infrastruktur sichtbar, ohne reale Anlagen zu gefährden. Damit ist er für die OT-Sicherheit besonders relevant.; Detail-Seite öffnen →Originalquelle ↗
CowrieCowrie (SSH/Telnet-Honeypot)Cowrie SSH/Telnet Honeypot: Cowrie ist ein quelloffener Honeypot mittlerer Interaktionstiefe, der SSH- und Telnet-Dienste nachbildet und die Aktivitäten von Angreifern detailliert aufzeichnet. Er gaukelt eine echte Shell vor und protokolliert jeden eingegebenen Befehl. Er ist einer der meistgenutzten Honeypots überhaupt.; Detail-Seite öffnen →Originalquelle ↗
DionaeaDionaea (Malware-Honeypot)Dionaea Malware Honeypot: Dionaea ist ein quelloffener Honeypot, der darauf spezialisiert ist, Schadsoftware einzufangen. Er bildet verwundbare Netzwerkdienste nach und lockt Angriffe an, um die übertragenen Schadprogramme zur späteren Analyse zu sichern. Er ist der Nachfolger des früheren Honeypots Nepenthes.; Detail-Seite öffnen →Originalquelle ↗
GhidraGhidra (Reverse-Engineering-Suite)Ghidra: Ghidra ist eine quelloffene Suite zum Reverse Engineering von Software, mit der sich kompilierte Programme wieder in lesbaren Code zerlegen und analysieren lassen. Sie wird in der Malware-Analyse und Schwachstellenforschung eingesetzt, um zu verstehen, was ein Programm tatsächlich tut. Als freies Werkzeug hat sie die Reverse-Engineering-Arbeit breit zugänglich gemacht.; Detail-Seite öffnen →Originalquelle ↗
OpenCanaryOpenCanary (Honeypot-Daemon)OpenCanary: OpenCanary ist ein quelloffener, schlanker Honeypot-Daemon, der sich als verschiedene Netzwerkdienste ausgibt und Alarm schlägt, sobald jemand mit ihnen interagiert. Er funktioniert wie eine unsichtbare Stolperdraht-Falle im eigenen Netz. Jede Berührung ist verdächtig — und damit ein wertvolles, fehlalarmarmes Signal.; Detail-Seite öffnen →Originalquelle ↗
PlasoPlaso (log2timeline): Plaso ist ein quelloffenes Werkzeug, das aus einer Vielzahl forensischer Artefakte automatisiert eine umfassende Zeitleiste erstellt — eine sogenannte Super-Timeline. Es sammelt Zeitstempel aus Dateisystemen, Protokollen, Browser-Spuren, der Registry und vielem mehr und führt sie zusammen. Es ist das Rückgrat vieler Timeline-Analysen.; Detail-Seite öffnen →Originalquelle ↗
Sleuth KitThe Sleuth Kit: The Sleuth Kit (TSK) — Open-Source-Toolkit für Datenträger- und Dateisystem-Forensik. CLI-Werkzeuge (mmls, fls, icat) plus die GUI Autopsy darüber. Standardwerkzeug für Disk-Image-Analyse.; Detail-Seite öffnen →Originalquelle ↗
SuricataSuricata (IDS/IPS/NSM)Suricata: Suricata ist eine quelloffene Engine zur Erkennung und Abwehr von Netzwerkangriffen (IDS/IPS) und zur Netzüberwachung (NSM). Sie prüft den Netzwerkverkehr regelbasiert auf bekannte Bedrohungen, protokolliert Metadaten und kann verdächtige Verbindungen melden oder blockieren. Sie ist ein zentraler Baustein netzbasierter Sicherheit.; Detail-Seite öffnen →Originalquelle ↗
T-PotT-Pot — Multi-Honeypot-PlattformT-Pot — The All-In-One Multi Honeypot Platform: T-Pot ist eine quelloffene All-in-one-Honeypot-Plattform, die zahlreiche einzelne Honeypots zusammen mit Netzüberwachung und Visualisierung in einem Docker-basierten System bündelt. Gepflegt wird sie von der Telekom Security. Sie ist der einfachste Einstieg, um Angriffe aus dem Internet sichtbar zu machen.; Detail-Seite öffnen →Originalquelle ↗
TimesketchTimesketch: Timesketch ist eine quelloffene Plattform zur gemeinsamen Analyse forensischer Zeitleisten. Sie nimmt große Timeline-Datensätze auf, macht sie durchsuchbar und erlaubt mehreren Analysten, an derselben Untersuchung kollaborativ zu arbeiten — mit Markierungen, Anmerkungen und gemeinsamen Erkenntnissen. Sie ist die Auswertungsoberfläche zu Werkzeugen wie Plaso.; Detail-Seite öffnen →Originalquelle ↗
VolatilityVolatility (Speicherforensik-Framework)Volatility: Volatility ist ein quelloffenes Framework für die Speicherforensik — die Analyse des Arbeitsspeichers (RAM) eines Systems. Aus einem Speicherabbild rekonstruiert es laufende Prozesse, geladene Module, Netzwerkverbindungen und Spuren von Schadsoftware. Es ist eines der wichtigsten Werkzeuge, um dateilose und getarnte Angriffe zu fassen.; Detail-Seite öffnen →Originalquelle ↗
WiresharkWireshark (Netzwerk-Analysewerkzeug)Wireshark: Wireshark ist das verbreitetste quelloffene Werkzeug zur Analyse von Netzwerkverkehr. Es zeichnet Datenpakete auf und zerlegt sie bis ins Detail, sodass sich Kommunikation Schritt für Schritt nachvollziehen lässt. In der Netzwerkforensik, Fehlersuche und Protokollanalyse ist es ein Standardinstrument.; Detail-Seite öffnen →Originalquelle ↗
ZeekZeek (Netzwerk-Monitor)Zeek: Zeek ist ein quelloffener Netzwerk-Sicherheitsmonitor, der den Verkehr nicht primär nach Signaturen durchsucht, sondern ihn in reichhaltige, strukturierte Protokolle übersetzt — wer wann mit wem über welches Protokoll kommunizierte. Diese Metadaten sind die Grundlage für Analyse, Threat Hunting und Netzwerkforensik. Zeek ist auf große Netze und Dauerbetrieb ausgelegt.; Detail-Seite öffnen →Originalquelle ↗

Artefakte

ADSAlternative Datenströme (NTFS)Alternate Data Streams: Alternate Data Streams sind eine Eigenheit des NTFS-Dateisystems: An eine Datei lassen sich zusätzliche, unsichtbare Datenströme anhängen, die im normalen Verzeichnis nicht erscheinen. Was als legitimes Feature gedacht ist, wird gern zum Verstecken von Daten oder Schadcode missbraucht. Für die Forensik sind ADS ein bekanntes Versteck.; Detail-Seite öffnen →
BitlockerBitLocker-FestplattenverschlüsselungBitLocker: BitLocker — Microsofts Full-Disk-Encryption für Windows. Kombiniert TPM-gebundenen Schlüssel mit Recovery-Key (BEK). Forensisch: Recovery-Key aus AD/Entra suchen, sonst nur Live-Akquise oder Cold-Boot-Angriff.; Detail-Seite öffnen →
BookmarkLesezeichen (Browser-Artefakt)Bookmark (Browser Artefact): Lesezeichen sind die vom Nutzer gespeicherten Verweise auf Webseiten und damit ein forensisch aussagekräftiges Artefakt: Sie zeigen, welche Seiten für eine Person bewusst von Interesse waren. Anders als der flüchtige Verlauf werden sie absichtlich angelegt und bleiben dauerhaft erhalten. Sie geben Einblick in Gewohnheiten und Absichten.; Detail-Seite öffnen →
CookieHTTP-CookieHTTP Cookie: Ein Cookie ist eine kleine Datei, die eine Website im Browser ablegt, um einen Nutzer über Aufrufe hinweg wiederzuerkennen — etwa für Anmeldungen oder Einstellungen. Forensisch sind Cookies aufschlussreich, weil sie belegen, welche Dienste wann genutzt wurden. Zugleich sind sie ein bekanntes Ziel für Sitzungsdiebstahl.; Detail-Seite öffnen →
Disk ImageDatenträger-AbbildDisk Image: Ein Disk Image ist eine vollständige, bitgenaue Kopie eines Datenträgers in einer Datei — die Grundlage jeder seriösen Datenträgerforensik. Es enthält nicht nur die sichtbaren Dateien, sondern auch gelöschte Bereiche, Slack Space und Dateisystemstrukturen. Auf ihm wird gearbeitet, damit das Original unangetastet bleibt.; Detail-Seite öffnen →
FATFAT (Dateizuordnungstabelle)File Allocation Table: FAT ist ein einfaches, sehr verbreitetes Dateisystem, das über eine Zuordnungstabelle festhält, welche Speicherbereiche zu welcher Datei gehören. Wegen seiner Einfachheit und breiten Kompatibilität findet es sich bis heute auf USB-Sticks, Speicherkarten und in eingebetteten Geräten. Forensisch ist es gut verstanden und ergiebig.; Detail-Seite öffnen →
Memory DumpSpeicherabbildMemory Dump: Ein Memory Dump ist eine Momentaufnahme des Arbeitsspeichers (RAM) eines Systems zu einem bestimmten Zeitpunkt. Er enthält, was zur Laufzeit aktiv war: Prozesse, geladene Module, Netzwerkverbindungen, entschlüsselte Daten und mitunter Schadcode. Er ist die Grundlage der Speicherforensik und oft der Schlüssel zu dateilosen Angriffen.; Detail-Seite öffnen →
MFTMaster File Table (NTFS)Master File Table: Die Master File Table ist das zentrale Verzeichnis des NTFS-Dateisystems: Sie führt für jede Datei einen Eintrag mit Namen, Größe, Zeitstempeln und dem Speicherort. Forensisch ist sie eine erstklassige Quelle, weil sie detailliert dokumentiert, welche Dateien existieren oder existierten und wann sie verändert wurden. Sie ist ein Herzstück der Windows-Forensik.; Detail-Seite öffnen →
PagefileAuslagerungsdateiPagefile: Die Auslagerungsdatei (Pagefile) ist ein Bereich auf dem Datenträger, in den Windows Teile des Arbeitsspeichers auslagert, wenn dieser knapp wird. Forensisch ist sie wertvoll, weil sie Bruchstücke dessen enthalten kann, was im RAM war — auch dann noch, wenn das System längst aus ist. Sie ist gewissermaßen ein dauerhafter Abdruck flüchtiger Daten.; Detail-Seite öffnen →
PrefetchPrefetch (Windows)Prefetch: Prefetch ist ein Windows-Mechanismus, der das Starten von Programmen beschleunigt, indem er für jede ausgeführte Anwendung eine kleine Datei mit Startinformationen anlegt. Forensisch ist das ein Glücksfall: Prefetch-Dateien belegen, welche Programme wann und wie oft gelaufen sind. Sie sind ein zentrales Indiz für Programmausführung.; Detail-Seite öffnen →
Windows RegistryWindows-RegistrierungsdatenbankWindows Registry: Die Windows Registry ist die zentrale Konfigurationsdatenbank des Betriebssystems, in der System- und Anwendungseinstellungen, Benutzerprofile und unzählige Spuren der Nutzung hinterlegt sind. Für die Forensik ist sie eine wahre Fundgrube: Sie dokumentiert angeschlossene Geräte, gestartete Programme, Anmeldungen und vieles mehr. Sie ist eines der wichtigsten Windows-Artefakte überhaupt.; Detail-Seite öffnen →

Protokolle & Formate

DCSProzessleitsystemDistributed Control System: Ein DCS ist ein verteiltes Leitsystem zur Steuerung komplexer, kontinuierlicher Industrieprozesse — etwa in der Chemie, Raffinerie oder Energieerzeugung. Anders als zentrale Steuerungen verteilt es die Regelung auf mehrere, über das Anlagennetz verbundene Stationen. Es ist das Nervensystem großer Prozessanlagen.; Detail-Seite öffnen →
HMIMensch-Maschine-SchnittstelleHuman-Machine Interface: Ein HMI ist die Bedienoberfläche, über die Menschen industrielle Prozesse beobachten und steuern — vom Bildschirm im Leitstand bis zum Bedienpanel an der Maschine. Es übersetzt komplexe Prozesszustände in verständliche Anzeigen und nimmt Steuerbefehle entgegen. Es ist die Brücke zwischen Operator und Anlage.; Detail-Seite öffnen →
IEC 60870-5-104IEC 60870-5-104 (Fernwirkprotokoll)IEC 60870-5-104: IEC 60870-5-104 (kurz IEC-104) ist ein in der europäischen Energieversorgung verbreitetes Fernwirkprotokoll, über das Leitstellen mit Umspannwerken und Stationen kommunizieren. Es überträgt Messwerte und Schaltbefehle über TCP/IP-Netze. Bekannt wurde es als Angriffsweg der Industroyer-Schadsoftware.; Detail-Seite öffnen →
IEC 61850IEC 61850 (Norm für Schaltanlagen-Kommunikation)IEC 61850: IEC 61850 ist eine Normenreihe für die Kommunikation in elektrischen Schaltanlagen und Umspannwerken, die die Vernetzung von Schutz-, Steuer- und Messgeräten standardisiert. Sie ermöglicht die moderne, digitalisierte Stationsautomatisierung. Mit der Vernetzung wächst auch hier die Relevanz der Cybersicherheit.; Detail-Seite öffnen →
IPInternetprotokollInternet Protocol: Das Internet Protocol (IP) ist das grundlegende Protokoll, das Datenpakete adressiert und durch Netze bis zum Ziel weiterleitet. Es ist die gemeinsame Sprache, auf der praktisch die gesamte moderne Netzkommunikation aufbaut. Ohne IP gäbe es kein Internet, wie wir es kennen.; Detail-Seite öffnen →
ModbusModbus (Industrieprotokoll)Modbus: Modbus ist eines der ältesten und am weitesten verbreiteten Kommunikationsprotokolle der Industrieautomation. Es ist einfach, robust und herstellerübergreifend — und genau deshalb bis heute allgegenwärtig in Steuerungen, Sensoren und Aktoren. Es wurde jedoch ohne jede Sicherheitsfunktion entworfen.; Detail-Seite öffnen →
OPC UAOPC Unified Architecture: Moderner, herstellerneutraler Daten- und Telemetriestandard für Industrieautomatisierung (IEC 62541). Ablöser des klassischen OPC DA. Im Unterschied zu Legacy-Protokollen bringt OPC UA Authentifizierung, Verschlüsselung und Zertifikate mit — wenn sie aktiviert sind. Standard-Konfigurationen mit anonymer Anmeldung sind weiterhin häufig anzutreffen. Das PIPEDREAM-Toolkit (2022) hatte ein dediziertes OPC-UA-Modul zur Manipulation generischer Server.; Detail-Seite öffnen →
PCAPPaketmitschnittPacket Capture: PCAP bezeichnet sowohl das Mitschneiden von Netzwerkverkehr als auch das verbreitete Dateiformat, in dem die erfassten Pakete gespeichert werden. Ein Paketmitschnitt hält den Netzverkehr originalgetreu fest und ist damit das wichtigste Rohmaterial der Netzwerkforensik. Was nicht aufgezeichnet wurde, lässt sich nicht analysieren.; Detail-Seite öffnen →
PLCSpeicherprogrammierbare Steuerung (SPS)Programmable Logic Controller: Eine SPS (englisch PLC) ist ein robuster Industrierechner, der einen physischen Prozess unmittelbar steuert — er liest Sensoren aus und schaltet Aktoren nach einer hinterlegten Logik. SPS sind die Arbeitspferde der Automatisierung und in nahezu jeder Anlage zu finden. Wer eine SPS kontrolliert, kontrolliert den Prozess.; Detail-Seite öffnen →
ProfinetProcess Field Net: Ethernet-basiertes Echtzeit-Protokoll von Siemens / PI (PROFIBUS & PROFINET International), in europäischer Fertigung Quasi-Standard. Trägt zyklische Prozessdaten, azyklische Konfiguration und Engineering-Verkehr — alles auf demselben Layer-2-Segment. Schwachstellen im Profinet-Stack treffen typischerweise direkt Siemens SIMATIC S7-1500 und kompatible Drittanbieter wie Phoenix Contact PLCnext oder Hilscher-Module. Schutz erfolgt fast immer durch Netz-Zonierung, nicht durch Protokoll-Härtung.; Detail-Seite öffnen →
RTUFernbedienungsstationRemote Terminal Unit: Eine RTU ist eine robuste Feldstation, die an weit entfernten oder unzugänglichen Orten Messwerte erfasst und Befehle einer Leitstelle ausführt — etwa an einer Pipeline, einem Umspannwerk oder einer Wasserstation. Sie ist die Schnittstelle zwischen dem zentralen SCADA-System und der verteilten Anlage vor Ort. Sie arbeitet oft autark und über große Distanzen.; Detail-Seite öffnen →
SCADAÜberwachung und Steuerung verteilter ProzesseSupervisory Control and Data Acquisition: SCADA bezeichnet Systeme zur zentralen Überwachung und Steuerung weiträumig verteilter industrieller Prozesse — etwa Strom-, Gas- oder Wassernetze. Eine Leitstelle sammelt Daten von Feldstationen (RTUs, PLCs) und sendet Steuerbefehle zurück. SCADA ist das übergeordnete Nervensystem kritischer Infrastruktur.; Detail-Seite öffnen →
SISSicherheits-NotabschaltsystemSafety Instrumented System: Ein SIS ist ein unabhängiges Sicherheitssystem, das eine Industrieanlage automatisch in einen sicheren Zustand fährt, wenn ein Prozess gefährliche Grenzen erreicht — etwa Überdruck oder Überhitzung. Es ist die letzte technische Schutzbarriere zur Vermeidung von Schäden an Mensch, Umwelt und Anlage. Ein Angriff darauf ist besonders folgenschwer.; Detail-Seite öffnen →
TCPÜbertragungssteuerungsprotokollTransmission Control Protocol: TCP ist das Protokoll, das eine zuverlässige, geordnete Datenübertragung über das ansonsten unzuverlässige IP gewährleistet. Es stellt sicher, dass alle Datenpakete vollständig und in der richtigen Reihenfolge ankommen — die Grundlage für Web, E-Mail und die meisten Anwendungen. Gemeinsam bilden sie den TCP/IP-Stapel.; Detail-Seite öffnen →
UDPBenutzer-Datagramm-ProtokollUser Datagram Protocol: UDP ist ein einfaches Transportprotokoll, das Daten ohne Verbindungsaufbau und ohne Zustellgarantie verschickt — schnell, aber „ungesichert“. Es eignet sich für Anwendungen, bei denen Tempo wichtiger ist als Vollständigkeit, etwa Sprach- und Videoübertragung, DNS oder Zeitabgleich. Es ist das schlanke Gegenstück zu TCP.; Detail-Seite öffnen →

Recht & Compliance

§ 202a StGB§ 202a StGB — Ausspähen von DatenSection 202a German Criminal Code — Data Espionage: § 202a StGB stellt das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten unter Strafe — also das Überwinden einer Zugangssicherung, um an fremde, nicht für einen bestimmte Daten zu gelangen. Schon das „Knacken“ des Schutzes ist strafbar, unabhängig davon, ob die Daten anschließend genutzt werden. Die Vorschrift ist ein Grundpfeiler des deutschen Computerstrafrechts.; Detail-Seite öffnen →Originalquelle ↗
§ 202b StGB§ 202b StGB — Abfangen von DatenSection 202b German Criminal Code — Interception of Data: § 202b StGB stellt das unbefugte Abfangen nicht-öffentlicher Datenübermittlungen unter Strafe — etwa das Mitschneiden fremder Netzwerkkommunikation oder elektromagnetischer Abstrahlung. Erfasst werden Daten während der Übertragung, nicht im gespeicherten Zustand. Die Vorschrift ergänzt das Ausspähen von Daten um die Übertragungsebene.; Detail-Seite öffnen →Originalquelle ↗
§ 202c StGB§ 202c StGB — Vorbereiten des Ausspähens und Abfangens von DatenSection 202c German Criminal Code — Acts Preparatory to Data Espionage: § 202c StGB — der sogenannte „Hackerparagraph“ — stellt bereits Vorbereitungshandlungen unter Strafe: das Herstellen, Verschaffen, Verkaufen oder Verbreiten von Passwörtern, Sicherungscodes oder von Programmen, deren Zweck die Begehung einer Tat nach § 202a oder § 202b ist. Strafbar ist also schon das Bereitstellen der Mittel. Die Norm war und ist wegen ihres weiten Wortlauts umstritten.; Detail-Seite öffnen →Originalquelle ↗
§ 303a StGB§ 303a StGB — DatenveränderungSection 303a German Criminal Code — Data Tampering: § 303a StGB stellt das rechtswidrige Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern fremder Daten unter Strafe. Geschützt wird das Interesse des Berechtigten an der unversehrten Nutzbarkeit seiner Daten — gewissermaßen die „Sachbeschädigung“ im digitalen Raum. Auch der Versuch ist strafbar.; Detail-Seite öffnen →Originalquelle ↗
§ 303b StGB§ 303b StGB — ComputersabotageSection 303b German Criminal Code — Computer Sabotage: § 303b StGB stellt die erhebliche Störung einer Datenverarbeitung unter Strafe, die für einen anderen von wesentlicher Bedeutung ist. Erfasst werden unter anderem Datenveränderung, das Eingeben oder Übermitteln von Daten in Schädigungsabsicht (etwa DoS-/DDoS-Angriffe) und das Beschädigen von Anlagen. Bei Angriffen auf Unternehmen und Behörden steigt der Strafrahmen deutlich.; Detail-Seite öffnen →Originalquelle ↗
BSI-KritisVBSI-KritisverordnungBSI Criticality Regulation: Die BSI-Kritisverordnung (BSI-KritisV) konkretisiert, welche Anlagen in Deutschland als Kritische Infrastruktur (KRITIS) gelten. Sie legt dazu je Sektor Anlagenkategorien und Schwellenwerte fest — als Regelmaßstab dient die Versorgung von rund 500.000 Personen. Wer einen Schwellenwert überschreitet, unterliegt besonderen Pflichten gegenüber dem BSI.; Detail-Seite öffnen →Originalquelle ↗
DORAVerordnung über die digitale operationale Resilienz im FinanzsektorDigital Operational Resilience Act: DORA ist die EU-Verordnung (EU) 2022/2554 für die digitale operationale Resilienz des Finanzsektors. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten — anders als NIS2 ist keine nationale Umsetzung nötig. Sie verpflichtet Finanzunternehmen und ihre IKT-Dienstleister zu IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und strenger Steuerung von Drittparteienrisiken.; Detail-Seite öffnen →Originalquelle ↗

Identifier10

Scoring3

Standards & Rahmenwerke25

Institutionen16

Daten-Quellen10

Konzepte42

Marker / Klassifikation6

Forensik & DFIR16

Angriffsarten29

Werkzeuge13

Artefakte11

Protokolle & Formate15

Recht & Compliance7